Apple、セキュリティ更新11件を公開　悪用された脆弱性の修正を旧型iPhoneにも拡大

旧型iPhone、標的型攻撃への修正を受け取る

Appleは2026年10月26日、11件のセキュリティアップデートを公開した。iPhone XS、iPhone XS Max、iPhone XR、第7世代iPadに影響する、悪用されたグラフィックス関連の脆弱性に対する修正も含まれる。また、新しいiPhone、iPad、Mac、Apple Watch、Apple TV、Vision Proヘッドセット、Safariにわたる数百件の脆弱性にも対処している。

これらの旧型デバイスの所有者にとって最も急を要するのは、iOS 18.7.11とiPadOS 18.7.11だ。両アップデートはCVE-2026-86950に対処する。これはCoreGraphicsの脆弱性で、Appleによると、iOS 27より前のバージョンを使う人々を狙った極めて標的を絞った攻撃に利用された可能性がある。細工されたファイルを処理すると、攻撃者が影響を受けるデバイス上でコードを実行できるおそれがある。

Appleはすでに9月28日、複数の新しいOSリリースでこの脆弱性を修正していた。今回の10月のアップデートでは、バックポートと呼ばれる手法により、旧型ハードウェアにも保護を拡大した。バックポートとは、最新OSへの移行を求める代わりに、以前のソフトウェアバージョンにセキュリティ修正を適用することだ。

別のセキュリティ対応として、インドの認証局eMudhraの証明書が侵害された問題がある。Appleは、影響を受けたウェブ証明書をSafari、Mail、および同社のネットワーク・セキュリティフレームワークを利用するアプリケーションで自動的にブロックした。ただし、信頼する証明書の判断に別のファイルを使う一部のMacコマンドラインツールには、引き続き対応が必要だ。

Appleの公開内容と件数の内訳

Appleのセキュリティリリース一覧によると、11件はいずれも10月26日付で公開された。アップデートの対象は、iPhoneとiPad向けソフトウェアの3世代、Mac向けOSの3種類、Apple TV向けソフトウェアの2系統、watchOS、visionOS、Safariだ。

公表された脆弱性の件数は次の通り。

• iOS 27.2とiPadOS 27.2：163件。
• iOS 26.7.2とiPadOS 26.7.2：134件。
• iOS 18.7.11とiPadOS 18.7.11：3件。
• macOS Golden Gate 27.2：263件。
• macOS Tahoe 26.7.2：213件。
• macOS Sequoia 15.8.2：197件。
• tvOS 27.2：72件。
• watchOS 27.2：62件。
• visionOS 27.2：125件。
• Safari 27.2：33件。
• tvOS 26.6.1：CVEの項目は未公表。

これらの数字を合計すると、各リリースに記載された脆弱性は1,265件となり、少なくとも329件の固有の脆弱性に相当する。Apple製品はソフトウェアコンポーネントを共有しているため、同じ脆弱性が複数のアップデートに掲載されることがある。iOSとmacOSの27.2だけを見ると、固有の脆弱性は286件だ。163件と263件を足した数から、両者で約140件が重複している。

CoreGraphicsの修正が重要な理由

CoreGraphicsは、テキストの描画や画像の表示などを担う。CVE-2026-86950は境界外書き込みの脆弱性で、ソフトウェアが割り当てられたメモリー領域を越えて情報を書き込む可能性がある。攻撃者はこの不具合を利用し、プログラムに干渉したり、攻撃者が選んだ命令を実行させたりするおそれがある。

この脆弱性はMeta Product Securityが発見した。影響を受けるOSを提供するAppleは、セキュリティ通知で悪用に関する警告を次のように説明している。

Appleは、この問題がiOS 27より前のバージョンを使う特定の標的に対する、極めて高度な攻撃で悪用された可能性があるとの報告を把握している。

Appleは技術的な影響と修正についても説明している。

悪意を持って細工されたファイルを処理すると、任意のコードが実行される可能性がある。境界外書き込みの問題に対し、境界チェックを強化して対処した。

境界チェックとは、プログラムが割り当てられたメモリー空間の範囲内で動作しているかを確認することだ。攻撃者が修正の提供前にこの脆弱性を利用していたため、ゼロデイとされた。Appleは、10月のリリースで対象となった他の脆弱性について、悪用が確認されたものはないと報告している。

修正は、数週間にわたり異なるソフトウェア系統に順次提供された。

• 9月28日：AppleはiOS 26.7.1、iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1で修正を公開。
• 9月29日：米当局がCVE-2026-86950を「既知の悪用された脆弱性」カタログに追加。
• 10月26日：iOS 18.7.11とiPadOS 18.7.11で、Appleが対象とした旧型デバイスにも修正を提供。

9月と10月のリリース日は28日離れている。iPhone XS、XS Max、XR、第7世代iPadの所有者が取るべき実際の対応は、そのデバイス向けに提供されているアップデートをインストールすることだ。Appleは、標的となった人物を公表しておらず、悪意あるファイルがどのように届いたかも説明していない。

旧型デバイスを守る3件の修正

iOS 18.7.11とiPadOS 18.7.11には、CoreGraphicsの修正を含む3件の修正が記載されている。残る2件は、機密データの露出と、許可のないカメラへのアクセスに対処する。

CVE-2026-65339はAudioフレームワークに影響し、ユーザーの機密情報が露出する可能性がある。CVE-2026-86990はCoreMediaに影響し、悪意あるアプリケーションがユーザーの許可なくカメラにアクセスできるおそれがある。CoreMediaは、Appleが音声や動画の管理に使うソフトウェアの一部だ。

Appleは、iPhone XS、iPhone XS Max、iPhone XR、第7世代iPadをこれらのリリースの対象としている。ビルド番号は22H384だ。この番号を使えば、ユーザーや管理者はインストール済みのソフトウェアのバージョンを別の方法でも確認できる。

この3件の修正は、小規模なアップデートでも速やかな適用が望ましい理由を示している。これらのデバイス向けリリースは、悪用された脆弱性の修正に加え、個人情報とカメラへのアクセスを保護する変更を含む。深刻なリスクに対処するアップデートに、何百件もの修正が含まれている必要はない。

新しいiPhoneとiPadには幅広い修正

AppleのiOSセキュリティ勧告には、iOS 27.2とiPadOS 27.2におけるコンポーネントの修正が記載されている。対象にはCoreGraphics、CoreMedia、ImageIO、カーネルが含まれる。カーネルは、ハードウェアやメモリー、プログラム間のアクセスを管理するOSの中核部分だ。

163件の脆弱性には、Appleのウェブ描画エンジンWebKitの問題や、画像、フォント、PDF文書、音声、動画を処理するコンポーネントの問題が含まれる。悪意あるコンテンツをデバイスが処理した際に、コード実行を許すおそれがあるものもある。アプリケーションによる機密データの取得やプライバシー設定の回避を可能にするものもある。

今回のリリースでは、Apple Intelligenceの脆弱性CVE-2026-86987も修正された。この脆弱性により、リモートの攻撃者が対応するiPhoneやiPad上の機密情報にアクセスできる可能性があった。ほかにも、ウェブコンテンツをシステムのほかの部分から隔離するための制限環境であるWebContentサンドボックスからの脱出に対処している。

Kerberos認証サーバーのなりすましや、近くにいる攻撃者によるThreadネットワークへのアクセスに関する修正もある。Kerberosはシステムの本人確認に使われ、Threadはスマートホーム機器などの対応デバイスを接続する。

iOS 27.2はiPhone 11以降に対応する。iPadOS 27.2は、第4世代12.9インチiPad Pro、第2世代11インチiPad Pro、第4世代iPad Air、第9世代iPad、第6世代iPad mini、およびそれぞれの系列の後継モデルに対応する。26.7.2系統は、第8世代iPad、第3世代iPad Air、第5世代iPad miniなど、一部の旧型iPadも対象としている。

Macの修正、リモートアクセスやシステム制御にも対応

個別の脆弱性件数が最も多いのはmacOS Golden Gate 27.2で、263件に上る。修正には、アプリケーションにMacの最上位の制御権限であるroot権限を与えるおそれがある脆弱性が10件以上含まれる。

Appleはサンドボックスの脱出、Gatekeeperの回避、ファイルシステムやディスクイメージを扱うコンポーネントのメモリー破損の問題も修正した。Gatekeeperは、ダウンロードしたソフトウェアの実行前に検査し、信頼できないアプリケーションを避けるのに役立つ。

画面共有、リモート管理、ネットワークファイル共有プロトコルのSMBにも修正が提供された。一部の脆弱性は、リモートやローカルネットワークから攻撃できる。リモート管理の脆弱性では、リモートの攻撃者がコードを実行できる可能性があり、ネットワーク経由でMacを管理する組織にとって特に重要なアップデートだ。

macOS Tahoe 26.7.2は213件、macOS Sequoia 15.8.2は197件の脆弱性に対処する。Tahoeのリリースには、アプリケーションがユーザーの機密情報にアクセスできる可能性があるSiriの脆弱性CVE-2026-43736が含まれる。

Safari 27.2はmacOS SequoiaとmacOS Tahoe向けに個別に提供され、33件の脆弱性に対処する。これにより、これらのMac OSを使い続けるユーザーは、該当するシステム修正とあわせてブラウザーもアップデートできる。

時計、テレビ、ヘッドセットも対象

Appleの10月のリリースは、スマートフォンやコンピューターにとどまらない。watchOS 27.2は62件の脆弱性を修正し、Apple Watch Series 9以降に対応する。visionOS 27.2は125件を修正し、すべてのApple Vision Proモデルが対象として記載されている。

tvOS 27.2は、第2世代Apple TV 4K以降の72件の脆弱性に対処する。Apple TV HDと第1世代Apple TV 4Kには、代わりにtvOS 26.6.1が提供される。Appleはこのリリースについて、CVEの項目は未公表としている。

CVE番号は、セキュリティ脆弱性を追跡するための公開識別子だ。Appleの一覧では、ハードウェアの対応状況とこれらの識別子が別々に示されているため、どのリリースが適用されるか確認するには正確なデバイスモデルが重要となる。家庭や職場で使うデバイスが複数ある場合、スマートフォンだけをアップデートしても、時計、テレビ、ヘッドセット、コンピューターは従来のソフトウェアのまま残る。

AppleがeMudhraの証明書をブロックした理由

10月23日に公開されたAppleのeMudhraセキュリティ通知は、eMudhraが運営する中間認証局8機関の秘密鍵に関する別の問題を説明している。そのうち6機関はウェブサイト用のTLS証明書を発行し、残る2機関はソフトウェアの署名に使う証明書を発行していた。

ウェブサイトの証明書は、身分証明書のような役割を果たす。認証局が証明書に署名することで、接続先が想定されたウェブサイトであることをソフトウェアが確認できる。中間認証局の秘密鍵を持つ人物は、ほかのウェブサイトに対して有効に見える証明書を作成できる可能性がある。

eMudhraの鍵は乱数が不十分な状態で生成されていたため、公開証明書から算出できた。セキュリティ研究者のScott Helme氏は、8つすべてを1秒足らずで復元したと述べた。eMudhraは、2025年4月30日の鍵生成セレモニー中に発生した問題が原因だとし、影響を受けた中間認証局のうち本番環境に展開されたのは1つだけで、エンドユーザー向けの証明書は発行していないと説明した。

研究者は10月17日に問題を報告した。Appleは10月19日に影響を受けたTLS証明書12件のブロックを開始し、10月23日にはemSign ECC Root CA - G3もブロックした。影響を受けたTLS認証局6機関は、それぞれ異なる信頼済みルートにつながる証明書を2種類持つため、TLS証明書は計12件となる。eMudhraとSectigoは影響を受けた証明書を失効させた。

Chrome、Firefox、Androidでもブロック措置が取られ、ソフトウェアプロジェクトやOS提供各社もそれぞれの証明書ストアを更新した。eMudhraの鍵が悪意を持って利用された事実は確認されていない。Appleの自動ブロックは、ユーザーがOSアップデートをインストールしなくても、Safari、Mail、および同社のネットワーク・セキュリティフレームワークを使うアプリケーションに適用される。

一部のMacツールには別途対応が必要

Macの管理者や開発者には、範囲の限られた問題が残る。macOSまたはXcode Command Line Toolsに付属する一部のツール、たとえばcurl、git、python3、ruby、perl、opensslは、/etc/ssl/cert.pemを参照して証明書を検証する。このファイルを通じて信頼された証明書チェーンについて、これらのツールはAppleの証明書ブロックや失効状態を確認しない。

Appleは今後のソフトウェアアップデートでこのファイルを変更するとしているが、公開時期は示していない。より早く対応したい管理者は、Appleの手順に従ってファイルをバックアップし、該当するルート証明書を削除できる。

emSign ECC Root CA - G3を削除すると、信頼経路の1つを遮断できる。Appleの通知によると、Sectigoのクロス署名証明書はAAA Certificate Servicesを経由して引き続き受け入れられる可能性があるため、管理者は必要に応じてそのルートも削除できる。ルート証明書を削除すると、そのファイルに依存するすべてのツールに影響し、該当するルートの下にある別の証明書を使った正規のウェブサイトへの接続が中断するおそれがある。

後日提供されるmacOSアップデートによって/etc/ssl/cert.pemが置き換えられる可能性がある。そのため、一時的な対応を行った管理者は、Appleの恒久的な変更が提供されるまで、アップデート後にファイルを確認する必要がある。独自の証明書リストを持つアプリケーションについては、開発元による別途の対応が必要だ。

ほとんどのAppleデバイス所有者は、証明書ファイルを編集する必要はない。まず該当するセキュリティアップデートをインストールすればよい。一方、組織はリモート管理サービス、開発者ツール、独自の信頼リストを管理するアプリケーションも確認すべきだ。Appleは、広範なリリースに含まれる複数の脆弱性の発見にAIツールや研究チームが貢献したと述べている。これは、多くの共有コンポーネントにまたがる問題がセキュリティ検査で同時に見つかっていることを示している。

要点

• Appleは2026年10月26日、主要OSとSafariを対象とするセキュリティアップデート11件を公開した。
• iOS 18.7.11とiPadOS 18.7.11で、悪用されたCoreGraphicsの脆弱性修正がiPhone XS、XS Max、XR、第7世代iPadに提供された。
• 各リリースには、共有ソフトウェアコンポーネントにまたがる少なくとも329件の固有の脆弱性に相当する、1,265件の脆弱性項目が含まれる。
• Macの修正にはリモートアクセスに関する脆弱性への対処が含まれ、ほかの修正では機密データやカメラの許可設定が保護される。
• Appleは、侵害されたeMudhraのウェブ証明書をSafari、Mail、および同社のセキュリティフレームワークを使うアプリケーションで自動的にブロックする。
• 一部のMacコマンドラインツールには、今後の証明書ファイル更新か、管理者による任意の暫定対応が必要となる。