Appleは2026年7月27日、iOS 26.6およびiPadOS 26.6をリリースしました。今回のアップデートでは、カーネルのメモリ破損、サンドボックエスケープ、WebKitのレンダリング関連の脆弱性など、多数のセキュリティ問題がまとめて修正されています。
このアップデートはiPhone 11以降、および幅広いモデルのiPad Pro、Air、miniシリーズに適用され、複数の問題に対応しています。
今回のリリースで最も修正が集中したのはカーネルコンポーネントで、解放済みメモリ使用（use-after-free）の問題、範囲外の読み取り・書き込み、競合状態、整数オーバーフローなど、10件を超える個別の脆弱性がカバーされています。
これらの脆弱性の一部は、悪意のあるアプリがカーネルメモリを破損させたり、システムを予期せず強制終了させたりする可能性があります。また、CVE-2026-28931として報告された問題は、悪意のあるNFSサーバーに接続することでトリガーされるバッファオーバーフローで、悪意のあるローカルアプリを必要とせずにカーネルメモリの破損につながる恐れがあります。
特に注目すべき修正はAVEVideoEncoder(CVE-2026-64747)に関するもので、バッファオーバーフローによってカーネル権限での任意コード実行が可能になる恐れがありました。これは攻撃者にシステムの最高レベルの制御権を与えてしまうため、脆弱性の中でも最も深刻な部類に分類されます。
2件の脆弱性はサンドボックによる隔離機能の破綻に直接関わるものです。Game Center(CVE-2026-64740)にはパス検証の問題があり、悪意のあるアプリがサンドボックから脱出できる状態でした。また、libc(CVE-2026-28973)にも同様の影響を及ぼす整数オーバーフローが存在していました。
これとは別に、MediaRemote(CVE-2026-43723)にはパス処理の欠陥があり、アプリがroot権限を取得できる可能性がありました。これはiOSの権限分離モデルを事実上完全に迂回してしまうものです。
CloudAttestation(CVE-2026-43813)も見逃せない修正です。検証に関する問題により、悪意を持って細工されたアプリがコード署名の検証を回避できる恐れがあり、iOSの中核的なマルウェア対策の一つを無力化しかねないものでした。
WebKitについても修正が数多く集中しており、悪意のあるWebコンテンツをレンダリングした際にSafariがクラッシュしたり、プロセスメモリが漏えいしたりする可能性のある、複数の解放済みメモリ使用およびメモリ破損の問題が含まれています。
このうちCVE-2026-64728は、iframeのサンドボックポリシー違反に対応するものです。また、CVE-2026-43821では、アプリがWebKit経由でサンドボックの外にあるファイルを読み取れてしまうアクセス制御の欠陥が修正されました。
プライバシーに関わる修正としては、CVE-2026-64713があります。これは、Webサイトが訪問済みリンクを検知できてしまう履歴詮索(history-sniffing)の手口を塞ぐものです。
Appleはさらに、認証情報がクロスオリジンで漏えいする2件のcurlの脆弱性(CVE-2026-3784、CVE-2026-3783)と、プロセスメモリの開示につながるlibarchiveの脆弱性(CVE-2026-4424)も修正しました。これらはいずれも、オープンソースの上流依存ライブラリから引き継いだ問題です。
物理アクセスによる攻撃も見過ごされていません。DriverKit(CVE-2026-43753)およびWi-Fi(CVE-2026-64726)の修正は、端末に近接またはアクセスできる攻撃者によって引き起こされ得る情報漏えいとメモリ破損に対応するものです。
リモートコード実行、サンドボックバイパス、権限昇格にまたがる数十件のCVEに対応した今回のiOS 26.6は、重要なパッチサイクルと言えます。
多数のiOS/iPadOS端末を管理するセキュリティチームは、カーネルレベルおよびコード署名バイパスに関わる問題を踏まえ、導入を優先すべきです。これらは標的型攻撃において悪用された場合に最も深刻な影響をもたらすためです。
SOC調査の死角を減らし、ANY.RUNで脅威を早期に封じ込めることで、対応コストと事業への影響を抑えましょう。
翻訳元: https://cyberpress.org/apple-ios-26-6-kernel-code-execution-sandbox-escape-webkit/
