VoiceTraに脆弱性、入力内容が漏れる恐れ

【更新 2026-08-15】本記事を見直し、修正しました。主な修正点：修正版 ver.9.2.1 の公開日をOS別（Android版 8月7日／iOS版 8月10日）に訂正、脆弱性の報告経路を「JPCERT/CC 経由の届出」から「開発者への直接報告」に訂正、NICT がサービスを一時停止し8月10日に全面再開した事実を追記（出典タイトルもあわせて訂正）。

国立研究開発法人情報通信研究機構（NICT）が提供する音声翻訳アプリ「VoiceTra（ボイストラ）」に、接続先の制限が不適切な脆弱性（CVE-2026-72506）が公表されました。攻撃者が管理するサーバへ接続させられ、入力した内容を窃取されたり、誤った翻訳結果を提示されたりする恐れがあります。影響を受けるのは iOS 版・Android 版の ver.9.1.3 および ver.9.2.0 で、修正版 ver.9.2.1 は Android 版が 2026年8月7日、iOS 版が同8月10日に公開済みです。NICT は対応のためサービスを一時停止しており、8月10日に全面再開しました（旧バージョンのままではサービスを利用できません）。

CVSS 基本値は「中」（5.4／5.1）にとどまりますが、このアプリが自治体の窓口・医療機関・学校などの現場で、情シスの把握しないまま使われている点にこそ論点があります。

この記事でわかること

• CVE-2026-72506 の中身と、影響を受けるバージョン・修正版
• VoiceTra とは何者で、どの公的アプリのベースになっているのか
• CVSS「中」でも軽視できない、この脆弱性固有の理由
• 脆弱性以前の問題として押さえるべき、VoiceTra の「研究用アプリ」という位置づけ
• 情シスが今日から取れる確認アクション

VoiceTra とは何か（「うちは使っていない」で済まない理由）

VoiceTra とは、NICT が研究成果として無償公開している多言語音声翻訳アプリです。スマートフォンに話しかけると、その場で外国語に翻訳して合成音声で読み上げます。公式サイトによれば対応は33言語で、ダウンロード・利用ともに無料です。

導入するのは情シスではありません。外国語を話す相手と対面する現場の担当者——自治体の窓口、病院の受付、学校、店舗、工場——が、自分のスマートフォンへ入れて使います。無料でストアからすぐ入るため、稟議も資産登録も経由しません。

さらに重要なのは、VoiceTra が派生アプリのベースになっていることです。消防庁の公表資料によると、救急隊向けの多言語音声翻訳アプリ「救急ボイストラ」は、VoiceTra をベースに消防庁消防研究センターと NICT が共同開発したもので、2026年1月1日現在、全720本部のうち691本部が導入しています。民間では株式会社フィートが「VoiceTra＋（ボイストラ プラス）」として提供しています。

ただし、今回の JVN・NICT の発表が対象として挙げているのは VoiceTra 本体（ver.9.1.3 / ver.9.2.0）のみです。救急ボイストラや VoiceTra＋が同じ問題を抱えるかどうかは、執筆時点で公開情報から判断できません。該当しそうな組織は、推測せず提供元（消防庁・各アプリの開発元）へ確認してください。

何が起きたのか

JVN#00941257 として2026年8月13日に公表されました。事実関係を整理します。

接続先の制限が不適切とは、どういう状態ですか

アプリが通信すべきサーバを正しく限定できておらず、本来とは別のサーバへ接続させられる状態です。音声翻訳は端末内で完結せず、話した内容をサーバへ送って処理する仕組みです。その接続先を攻撃者が差し替えられれば、送信内容はそのまま攻撃者の手に渡り、返ってくる翻訳文も攻撃者が自由に決められます。

CVSS ベクタの UI:R（v4.0 では UI:A）が示すとおり、成立には利用者側の操作が必要です。したがって「アプリを入れているだけで即座に盗まれる」性質ではありません。一方で AV:N（ネットワーク経由）かつ PR:N（権限不要）であり、攻撃者側に特別な前提は要りません。攻撃の具体的な手口は、NICT・JVN いずれも公開しておらず、執筆時点で技術的詳細は明らかにされていません。

CVSS 5.4「中」でも軽視できない理由

CVSS の基本値はアプリ単体が受ける被害の大きさを測る指標で、そこに入力される情報の中身までは評価しません。VoiceTra の場合、そこが逆転します。

第一に、入力されるデータが機微です。窓口で翻訳させる内容は、氏名・住所・生年月日・在留資格・世帯構成といった個人情報そのものです。医療現場なら症状や既往歴が加わります。C:L（機密性への影響：低）という評価は、あくまでアプリの権限境界から見た値であり、実際に流出しうる情報の重大さとは一致しません。

第二に、「誤った翻訳結果を提示される」という影響が、機密性ではなく安全性の問題になり得ます。攻撃者が任意の訳文を返せるということは、相手に伝わる内容を操作できるということです。救急・医療・災害対応のように翻訳結果がそのまま判断材料になる場面では、これは情報漏えいとは別種のリスクです。CVSS の I:L（完全性への影響：低）という表記からは、この重みは読み取れません。

スコアで機械的に足切りする脆弱性管理（例：7.0 未満は次回対応）を運用している組織では、この種の案件が構造的に取りこぼされます。判断材料はスコアではなく、①そのアプリに何を入力しているか ②誤った出力が返ったとき誰が困るかの2点で見てください。

脆弱性以前の論点：VoiceTra は「研究用アプリ」である

ここが、今回いちばん共有したい事実です。NICT は公式サイトの「ご利用にあたって」で、VoiceTra を「個人の旅行者の試用を想定して作られた研究用アプリであり、研究目的のサーバーを使用」していると明記し、「民間サービスへの移行もご検討ください」と案内しています。また、有償の製品・サービスから VoiceTra を呼び出すことや、販売する機器にインストールして販売することは認められていません。

データの取り扱いも公開されています。プライバシーポリシーによれば、入力された音声やテキスト、その翻訳結果、端末情報（固有IDを含む）、通信履歴は、音声翻訳を実行するたびに NICT が運用するサーバへ送信されて記録され、音声翻訳の性能向上および改良のために利用されます。取得したデータがそのまま公開されたり第三者へ提供されたりすることはない（統計情報は除く）と説明されています。

これは NICT の落ち度ではなく、研究用アプリとして最初から明示されている仕様です。問題は、その前提が現場に伝わらないまま業務で使われていることにあります。脆弱性が修正されても、「業務上の機微情報を入れてよいアプリか」という問いは残ります。

現場目線の所感

この手のアプリは、情シスにとって最も見えにくい部類に入ります。個人所有のスマートフォンに入った無料アプリは、資産管理台帳にも MDM の「インストール済みアプリ一覧」にも上がってきません。実態を知る方法が現場へのヒアリングしか残らないのが正直なところです。

そして、使っている側にまったく悪意がありません。外国語を話す来庁者・来院者が目の前に立った瞬間に、無料で・すぐに・そこそこ正確に動くものが必要になる。予算措置も伴わずに「商用サービスを契約してください」とだけ言うのは、机上の正論として消費されて終わります。

だからこそ、今回のように「公式に脆弱性が出た」タイミングは貴重です。禁止の通達ではなく、更新のお願いという入りやすい形で現場に接触でき、そのついでに利用実態を聞き出せるからです。棚卸しの口実として使うのが現実的だと考えます。

情シスがまず取るべき確認アクション

1. バージョンを 9.2.1 以上へ更新する。App Store／Google Play から更新します。iOS 版・Android 版の両方が対象です。NICT はアプリ内でも更新の通知を出しており、旧バージョン（ver.9.1.3／ver.9.2.0）のままではサービスを利用できません。
2. 利用実態をヒアリングで把握する。台帳に出てこない以上、窓口・受付・現場部門へ直接聞くのが最短です。「翻訳に何を使っていますか」という聞き方なら、他の翻訳アプリや生成AIの業務利用もまとめて洗い出せます。
3. 入力してよい情報の線引きを決める。研究用サーバへ送信・記録される仕様を踏まえ、個人情報や機微情報を入れないルールを明示します。業務で恒常的に必要なら、商用の翻訳サービスへの移行を検討します（NICT 自身がそう案内しています）。
4. 派生アプリは提供元へ確認する。救急ボイストラ等を業務利用している場合、今回の対象に含まれるかは公開情報からは判断できません。提供元に問い合わせてください。

あわせて、こうした「現場が善意で持ち込むツール」への向き合い方は、技術的な対策よりも地道な啓発が効きます。エンドユーザ向けの説明資料としては IPA の対策のしおりが使いやすく、組織としてのルール整備は中小企業の情報セキュリティ対策ガイドラインが土台になります。自前で長大なチェックリストを作るより、公的資料をそのまま配ったほうが現場に届きます。

まとめ

• VoiceTra の ver.9.1.3 / ver.9.2.0（iOS・Android 両方）に接続先の制限が不適切な脆弱性 CVE-2026-72506。ver.9.2.1 へ更新すれば修正されます。悪用は確認されていません。
• CVSS は 5.4（中）ですが、入力されるのが窓口・医療現場の個人情報である点、誤訳を意図的に返せる点で、スコア以上に実務上の重みがあります。
• より本質的な論点は、VoiceTra が「個人の旅行者の試用を想定した研究用アプリ」であり、入力内容が研究目的で NICT のサーバに記録されること。業務利用の可否そのものを、この機会に棚卸ししてください。

関連記事

• Firefox for Androidに情報漏えい脆弱性 深刻度は割れる
• デジタル庁150人分漏えい 作業手順書の曖昧さが原因
• 長野県台帳図面に5.4万人分の個人情報 40年放置の教訓
• EASMとは？外部攻撃対象領域管理の仕組みを解説

出典

• JVN#00941257 VoiceTraにおける接続先の制限が不適切な脆弱性（2026年8月13日公表）
• JVNDB-2026-000114
• NICT「多言語音声翻訳アプリ『VoiceTra』の修正版公開およびサービス再開について」
• VoiceTra ご利用にあたって（NICT）
• VoiceTra プライバシーポリシー（NICT）
• 消防庁「多言語音声翻訳アプリ『救急ボイストラ』」
• NICT「スマートフォン向け多言語音声翻訳アプリ VoiceTra」（技術移転情報）