証明書の信頼性2026年10月26日（月）
Flutter／Firebaseの証明書信頼：SDKを更新し、アプリを再配布
OSを更新しても、アプリに古いTLS信頼情報が残る場合があります。利用中のSDKとプラットフォームを確認し、対象アプリを再ビルドして配布してください。
本文
eMudhraの鍵生成の不備により、中間CAの秘密鍵を復元できる状態でした。通信経路に介入できる攻撃者は、偽造したTLS証明書でバックエンドになりすまし、個人情報やトークンを含む通信を読み取ったり改ざんしたりする可能性があります。Firebaseは10月25日にガイダンスを更新しました。Dartのdart:ioの告知では、この検証経路についてWeb、iOS、macOSは対象外です。Firestoreは別途、プラットフォームごとに確認してください。
Googleは10月27日午前（米国太平洋夏時間）にChrome Root StoreからemSign ECC Root CA - G3を削除する予定としていました。この証明書チェーンを使用するサイトでは、すべてのTLS終端と待機系で証明書を交換し、実際のクライアントから接続を確認してください。
系列ごとの修正バージョン
- Dart 3.13.7 / 3.14.0-315.3.beta; Flutter 3.47.8 / 3.50.0-0.2.pre
- FlutterFire cloud_firestore 7.1.0; iOS/macOS 6.10.1 or Windows 6.10.2 on the earlier line
- FirebaseFirestore Apple SDK 13.1.1 or 12.19.3 (CocoaPods: 12.19.3)
- Firebase Unity SDK 14.1.0 or 13.17.1; Firebase C++ SDK 14.1.0 or 13.13.1
- 01
通信経路に介入
- 02
偽造TLS証明書を提示
- 03
データやトークンを読み取り・改ざん
- 01
TLS接続を担うコンポーネントを特定
配布済みアプリ、ロックファイル、CI成果物、内蔵の信頼ストアを棚卸しします。委託アプリや社内ツールも対象です。
対応策を見る関連情報 1件
TWISA会員企業の対策
TLS接続を担うコンポーネントを特定
配布済みアプリ、ロックファイル、CI成果物、内蔵の信頼ストアを棚卸しします。委託アプリや社内ツールも対象です。
- 02
系列ごとにSDKを更新して再ビルド
対象SDKやプラグインを更新し、再ビルドして正式な経路で配布します。
対応手順を見る関連情報 1件
対応方法・ガイダンス
系列ごとにSDKを更新して再ビルド
対象SDKやプラグインを更新し、再ビルドして正式な経路で配布します。
- 03
利用者への配布と更新を追跡
アプリストアと社内配布のバージョンを確認し、旧版を使う端末を追跡します。
- 04
証明書の検証と業務接続を確認
許可された環境で、不正な証明書チェーンが拒否され、ログイン、Firestore、社内APIが正常に動くことを確認します。
対応策を見る関連情報 2件
TWISA会員企業の対策
証明書の検証と業務接続を確認
許可された環境で、不正な証明書チェーンが拒否され、ログイン、Firestore、社内APIが正常に動くことを確認します。
許可された業務通信のみを通し、各層で防御を行います。
- 01
TLS接続を担うコンポーネントを特定
配布済みアプリ、ロックファイル、CI成果物、内蔵の信頼ストアを棚卸しします。委託アプリや社内ツールも対象です。
- 02
系列ごとにSDKを更新して再ビルド
対象SDKやプラグインを更新し、再ビルドして正式な経路で配布します。
- 03
利用者への配布と更新を追跡
アプリストアと社内配布のバージョンを確認し、旧版を使う端末を追跡します。
各層のログと通信データを集約し、監視と対応に活用します。
- 証明書の検証と業務接続を確認許可された環境で、不正な証明書チェーンが拒否され、ログイン、Firestore、社内APIが正常に動くことを確認します。
TWISA会員企業の対策
TLS接続を担うコンポーネントを特定
配布済みアプリ、ロックファイル、CI成果物、内蔵の信頼ストアを棚卸しします。委託アプリや社内ツールも対象です。
証明書の検証と業務接続を確認
許可された環境で、不正な証明書チェーンが拒否され、ログイン、Firestore、社内APIが正常に動くことを確認します。
証明書の検証と業務接続を確認 → TLS証明書と接続の入口
証明書チェーン全体と待機系を棚卸しし、交換後にアプリとブラウザーの接続を確認します。
証明書の検証と業務接続を確認 → バックエンドの認証と機密データ
トークンの有効期間、サービスの認証、APIのレコード単位の権限を見直します。暗号化やマスキングで平文の露出を抑えます。
証明書の検証と業務接続を確認 → 接続とアカウントの異常を突合
アプリの版、TLSエラー、ログイン、トークン利用、異常な読み取りを突き合わせ、調査と復旧に活用します。
出典・関連記事
速報更新日：2026/10/26。製品サポートと修正状況はメーカーの最新情報をご確認ください。