Appleが緊急パッチ、iPhoneの重大な脆弱性を修正 攻撃者が悪意あるコードを実行可能に

新たに修正されたApple製品のセキュリティ上の欠陥により、iPhoneやiPadが画像を処理する際に攻撃者が悪意あるコードを実行できる恐れがあったことがわかりました。

Appleは8月17日、この問題を含む複数のセキュリティ脆弱性に対処するため、iOSおよびiPadOS 26.6.1をリリースしました。その2日後、インドのコンピュータ緊急対応チーム(CERT-In)は、Apple製品全体に存在する脆弱性が任意のコード実行、機密情報の漏えい、セキュリティ境界の侵害、対象デバイスのクラッシュを引き起こす可能性があるとして、重大な注意喚起を発表しました。

この警告は、iPhoneおよびiPadユーザーに対し、速やかなアップデートを促す明確な根拠となっています。CERT-Inは全体的なリスクを「非常に高い(Very High)」と評価していますが、AppleもCERT-Inも、iOSおよびiPadOS 26.6.1で修正された脆弱性が実際に悪用された事例は確認していないとしています。

Appleの画像処理の欠陥、悪意あるコード実行を許す恐れ

iOSおよびiPadOS 26.6.1で修正された脆弱性の中でも特に深刻なものの一つが、Appleが画像データの処理に使用するフレームワーク「ImageIO」に影響するものです。

Appleによると、整数オーバーフローの脆弱性により、画像を処理する際に任意のコード実行につながる可能性があったとのことです。同社は入力検証を強化することでこの問題に対処しました。

この脆弱性はCVE-2026-65346として識別されています。

Appleは、この脆弱性を悪用するためにどのような種類の画像や攻撃手順が必要になるかについては明らかにしていません。同社のセキュリティ勧告でも、CVE-2026-65346がゼロクリック脆弱性であるとは説明されておらず、攻撃者による実際の悪用があったとも述べられていません。

とはいえ、任意のコード実行はソフトウェア脆弱性がもたらす結果の中でも特に深刻な部類に入ります。攻撃者が標的のデバイスに不正な命令を実行させることを可能にするためです。

CERT-Inのセキュリティ勧告が対象とするApple製品全体を見ると、脆弱性はCoreAudio、ImageIO、カーネル、WebKit、IOGPUFamily、AVEVideoEncoder、SceneKit、Model I/Oなど、さまざまなシステムフレームワークのコンポーネントに影響しています。

CERT-Inによると、根本的な脆弱性にはメモリ破損、解放後使用(use-after-free)のバグ、範囲外読み取り・書き込み、バッファおよび整数のオーバーフロー、型の混同、さらには認証・認可・権限・ロジックに関する問題が含まれるとしています。

CERT-Inによれば、これらの脆弱性が悪用された場合、権限昇格を伴う任意のコード実行、機密情報へのアクセス、セキュリティ境界の侵害、サービス拒否(DoS)状態などにつながる可能性があるとしています。

Appleはこれまでにも同様に深刻な脅威に対処してきた実績があります。2月には、特定の個人を標的とした「極めて高度な」攻撃で悪用されていたとされる、任意のコード実行を可能にする実際に悪用されていたApple製品のゼロデイ脆弱性を修正しています。

Appleのブラウザエンジンである WebKit も、繰り返し攻撃者の標的となってきたコンポーネントです。2025年後半に修正された2件のWebKitゼロデイ脆弱性は、標的型のiPhoneスパイウェア攻撃に悪用されていました。これは、Webコンテンツを日常的に処理するコンポーネントの脆弱性がもたらしうるリスクの大きさを浮き彫りにしています。

影響を受けるApple製品は

Appleによると、iOSおよびiPadOS 26.6.1は以下のデバイスで利用可能です。

• iPhone 11以降
• iPad Pro 12.9インチ 第3世代以降
• iPad Pro 11インチ 第1世代以降
• iPad Air 第3世代以降
• iPad 第8世代以降
• iPad mini 第5世代以降

CERT-Inのより広範な勧告では、以下のバージョンより前のOSを実行しているデバイスが影響を受けるとしています。

• iOS 26.6.1
• iPadOS 26.6.1
• iOS 18.7.10
• iPadOS 18.7.10
• macOS Tahoe 26.6.2

該当するソフトウェアを実行しているユーザーは、Appleが提供する適切なセキュリティアップデートをインストールする必要があります。

iPhoneやiPadでは、以下の手順で利用可能なアップデートを確認できます。

設定 > 一般 > ソフトウェア・アップデート

AppleはiOSおよびiPadOS 26.6.1のセキュリティ勧告で、修正内容の詳細を公開しています。

Appleのアップデートで修正されたのはImageIOの欠陥だけではない

ImageIOの脆弱性は、iOSおよびiPadOS 26.6.1で対処された数多くのセキュリティ問題のうちの一つに過ぎません。

Appleのセキュリティ情報には、Audio、ImageIO、IOGPUFamily、カーネル、電話機能(Telephony)、WebKitなど、OSのさまざまなコンポーネントに影響する脆弱性が記載されています。

その中でAppleは、あるカーネルの脆弱性についてはアプリが予期しないシステム終了を引き起こしたり、カーネルメモリを読み取ったりする可能性があると説明しています。また、別のカーネルの脆弱性は、リモートの攻撃者が予期しないシステム終了を引き起こす可能性があるとしています。

今回のアップデートでは、悪意を持って細工されたWebコンテンツをデバイスが処理する際に、Safariの予期しないクラッシュやメモリ破損を引き起こす可能性があったWebKitの脆弱性も修正されています。

今回の一連の修正は、7月27日にリリースされたiOSおよびiPadOS 26.6に続くものです。このアップデートでも、大量のセキュリティ脆弱性が修正されていました。iOS 26.6およびiPadOS 26.6のセキュリティ情報には、カーネルレベルでのコード実行や不正なデータアクセスなどにつながる恐れのあった脆弱性が詳しく記載されています。

こうした修正が絶え間なく続いていることは、デバイスが一見正常に動作しているように見えても、iPhoneやiPadを常に最新の状態に保つことがいかに重要かを物語っています。

iPhoneは依然として高度な攻撃の標的に

今回の一連の脆弱性は、高度な脅威アクターがiPhoneに対する関心を持ち続けている状況の中で明らかになりました。

今年に入り、Googleの研究者は、5つの攻撃チェーンにまたがる23件の脆弱性を含むiOS用エクスプロイトフレームワーク「Coruna」を発見しました。このツールキットは数千台に及ぶiPhoneの侵害に使用されたと報じられています。

Corunaによるキャンペーンは、iOSおよびiPadOS 26.6.1で対処された脆弱性とは別のものであり、両者を結びつける証拠は現時点でありません。

CERT-Inはまた、8月14日には別途、傭兵型スパイウェア業者に標的とされたユーザーに送られる脅威通知に関するApple製品の勧告を発表しています。同機関は、こうした攻撃について、国家の支援を受けた、あるいは潤沢なリソースを持つ攻撃者と一般に結びつけられる高度な作戦であると説明しています。

この警告は、CERT-Inが8月19日に発表した勧告で扱われている脆弱性とは別のものです。

これらのApple製品の脆弱性は悪用されているのか

Appleのセキュリティ情報およびCERT-Inの8月19日付勧告のいずれにも、iOSおよびiPadOS 26.6.1で修正された脆弱性が実際に悪用されているとの記載はありません。

とはいえ、任意のコード実行を可能にする脆弱性は、実際の悪用の証拠がなくても深刻なセキュリティリスクとなり得ます。CERT-Inはこの勧告を「Critical(緊急)」と評価し、高度な標的型攻撃につながる可能性があると警告しています。

同機関は、攻撃の証拠を待つのではなく、Appleの適切なセキュリティアップデートを速やかに適用するよう推奨しています。

iPhoneおよびiPadユーザーが今すべきこと

Appleユーザーは、以下の手順で自分のデバイスに最新のセキュリティアップデートが提供されているかどうかを確認してください。

設定 > 一般 > ソフトウェア・アップデート

対応デバイスを使用しているユーザーは、iOSまたはiPadOS 26.6.1、あるいは自分のデバイスで利用可能な最新のセキュリティアップデートをインストールすることが推奨されます。

自動アップデートを有効にしておくことも、今後Appleがセキュリティ修正をリリースした後にデバイスが脆弱な状態にさらされる時間を減らすうえで有効です。

多数のiPhone、iPad、Macを管理する組織は、デバイス管理ツールを通じて導入済みのOSバージョンを確認し、標的とされるリスクが高いユーザーのシステムを優先的にパッチ適用すべきです。

今回のAppleのアップデートは、一見ありふれたiPhoneのアップデートであっても、重要なセキュリティ修正が含まれている場合があることを改めて示すものです。今週修正された問題の中には、任意のコード実行につながりかねないImageIOの脆弱性も含まれており、ユーザーにはこのアップデートをキューに放置しておかない十分な理由があると言えるでしょう。

あわせて読む: AIの進化とともにサイバー脅威も変化する中、 OpenAIが最先端AIのトレーニングを減速させている理由 ―― Astraが重大なサイバーセキュリティの閾値に近づく中でをご覧ください。

Matt Gonzales

Matt Gonzalesは、新興テクノロジー、エンタープライズIT、サイバーセキュリティ、人工知能、そして職場のイノベーションを10年以上にわたり取材してきたテクノロジージャーナリスト、編集者、コンテンツ戦略家です。eWeekおよびTechRepublicのマネージング・エディターとして、編集戦略と編集部運営を統括する一方、ビジネスおよびIT分野のリーダーが進化するテクノロジー環境を乗り越えていくための支援を行っています。
これまでのキャリアを通じて、Mattはデジタル出版およびエンタープライズメディア各社でコンテンツ開発、編集企画、編集部運営を統括する要職を歴任してきました。TechnologyAdvice入社以前は、SHRMで職場のトレンドや新興テクノロジーを取材する編集者を務めたほか、Marine Corps Systems Command(米海兵隊システムコマンド)ではリード・ライター兼エディターとして、防衛技術、イノベーション施策、政府のテクノロジープログラムについて報じてきました。
Mattの専門分野は、サイバーセキュリティ、エンタープライズテクノロジー、AI、B2Bソフトウェア、テクニカルライティング、デジタル出版と多岐にわたります。生成AIの急速な進化をはじめとする主要なテクノロジー動向を取材し、読者が新興テクノロジーがもたらす機会とリスクの両方を理解できるよう努めてきました。その仕事ぶりは、綿密なリサーチと編集上の厳格さ、そして実務的なビジネスの視点を組み合わせ、複雑な技術的トピックを幅広い読者にわかりやすく伝えることを特徴としています。
数々の賞を受賞してきたジャーナリストであるMattは、報道および編集部門でのリーダーシップにおいて高い評価を得ています。イースト・カロライナ大学でジャーナリズムを専攻し、コミュニケーション学の理学士号を取得しており、現在もテクノロジー、サイバーセキュリティ、ビジネスの各分野の専門家に向けて、信頼性の高い分析と実践的な知見を提供することに注力しています。