セキュリティ
今回のパッチは現行機種、旧型のiGadget、Mac、Vision Proにまで及ぶ
Appleは、iPhone、iPad、Macを対象とした一連の脆弱性修正をリリースしました。その中には、専門家がスパイウェア配布の経路として使われかねない特徴を持つと指摘する画像処理の欠陥も含まれています。
今回のパッチで最も注目すべきは、CVE-2026-65346です。これは、Appleが画像ファイルの解析に使用しているImageIOフレームワークにおける欠陥です。
Meta社のレッドチームXに所属するNik Tsytsarkin氏が発見・報告したCVE-2026-65346は、整数オーバーフローのバグであり、影響を受ける端末が画像を処理する際に任意コード実行を許してしまう可能性があります。
このバグは、macOS Tahoe、iPhone 11以降の機種、そして対応するiPad Pro、iPad Air、iPad、iPad miniの各モデルに影響します。
Appleは入力検証の改善によってこの欠陥に対処したとしており、専門家は8月17日付のアップデートをできるだけ早くインストールするようユーザーに呼びかけています。
JamfのシニアエンタープライズストラテジーマネージャーであるAdam Boynton氏は次のように述べています。「iOS 26.6.1の目玉となる修正はCVE-2026-65346で、ImageIOにおける整数オーバーフローです。これはAppleが画像デコードに使用しているシステムフレームワークであり、これを悪用されると、攻撃者が本来書き込むべきでないメモリ領域への書き込みを行い、コード実行権限を得られる可能性があります。
画像解析の欠陥は、これまでも要人やその他の重要人物を狙ったゼロクリック型スパイウェアの配布手段として使われてきた歴史があります」
近年発生した被害の大きいスパイウェアキャンペーンの多くは、メッセージングサービス経由で送られる悪意あるファイルによって発動する、ゼロクリック型のスマートフォンエクスプロイトを利用してきました。
ロシアのFSBがNSAの仕業だと主張したOperation Triangulationも、こうした手口を用いていました。FORCEDENTRYも同様です。これはAppleの画像処理ソフトウェアを通じてNSO Group社のPegasusスパイウェアを配布するために使われたエクスプロイトです。
The RegisterはAppleに対し、CVE-2026-65346がスパイウェアキャンペーンで悪用されている事実を把握しているかどうか質問しましたが、記事執筆時点で回答は得られていません。
iOS 26.6.1アップデートに含まれるその他の脆弱性の大半は、意外にも(?)WebKitに関するものです。WebKitはAppleのフレームワークの中でも間違いなく最も叩かれ続けている部分と言えるでしょう。
Boynton氏はまた、今回の修正群の中でも特に懸念される欠陥としてCVE-2026-65329を挙げています。
iPhone 11以降の機種に影響するこの脆弱性は、Appleのテレフォニーコンポーネントに存在し、攻撃者にネットワークトラフィックを傍受される可能性があります。
Appleによれば、このバグを悪用するには、攻撃者が特権的なネットワーク上の位置を確保した上で、IPsec認証を回避してトラフィックを傍受する必要があるとのことです。
Boynton氏はこの欠陥について、「IPSecベースの接続に依存している組織にとっては、より稀ではあるものの、より深刻な問題だ」と説明しています。
Appleはこれを認証に関する問題だとし、状態管理を改善することで修正したとしています。
また、iPhone XS、XS Max、XRなど、iOS 26を実行できない旧型端末向けに、iOS 18.7.10およびiPadOS 18.7.10もリリースされました。
月曜日にリリースされたアップデートはvisionOS 26.6.1にも及んでいますが、Appleのセキュリティアップデートページでは、詳細は依然として「近日公開」となっています。®
