Appleは全OS、ブラウザ、その他のソフトウェア製品にわたり、260件を超えるCVEに対応しました。これは同社史上最大規模となるパッチサイクルです。
このCVE件数は、他のベンダーと比べれば決して目立つ数字ではありません。今月初めにMicrosoftが974件という記録的な脆弱性を公表したことを思い出してください。それでもAppleにとっては自社記録の更新です。また、AIによるバグハンティングが新たな常態になりつつあることも反映しています。モデルが脆弱性発見において指数関数的に優れ、速くなっているためです。
しかし、私たちが期待していたAIのもう一つの側面——モデルがパッチの作成やソフトウェア・システムの自動修正にも優れているはずだという話——については、まだそうなっていません。
今まさにAppleの製品をアップデートしている全ての人々(この記者自身も含めて)にとって唯一の朗報は、今回の脆弱性のいずれも積極的な悪用は確認されていないという点です。もちろん、攻撃者たちがまさに今この瞬間にも新たに公表された脆弱性の悪用を試みているため、状況はすぐに変わる可能性があります。そして言うまでもなく、彼らもAIを使っています。
月曜日にリリースされたAppleの最新のモバイルおよびオペレーティングシステムであるiOS 27とmacOS 27 Golden Gateでは、それぞれ122件、204件という過去最多のセキュリティ脆弱性が修正されています。これらはスマートフォン、iPad、コンピューターの各OSにまたがるものです。
もっとも、これら数百件のCVEのうち、AIが発見に直接貢献したと明記されているのは(数えたところ)わずか10件にとどまります。
iOS 27、122件の欠陥を修正
iOS 27で修正されたiPhoneおよびiPad関連のCVEのうち、コーディングエージェントやAIアシスタントの発見によるものとされているのはわずか2件です。その一つがCVE-2026-65410で、iPhoneおよびiPadのAVE動画エンコーダーに存在し、予期しないシステム終了を引き起こす可能性がある脆弱性です。AppleはこのセキュリティフローについてAIバグ発見企業のCalifと、ClaudeおよびAnthropic Researchの功績を認めています。
もう一つはCVE-2026-65409で、iOSのFoundationフレームワークに存在するtype confusion(型の混同)に関する問題であり、サービス拒否(DoS)攻撃に悪用される恐れがあります。これもCalif——具体的には人間の研究者であるBruce Dang氏——がClaudeおよびAnthropic Researchと協力して発見したものです。
今回の最新アップデートで修正された、より興味深く深刻なiOSの脆弱性の中には、AIによる発見とはされていないものもあります。
その一つがCVE-2026-43689で、アプリがルート権限を取得できてしまう可能性がある権限昇格の脆弱性です。Appleはこの脆弱性の報告についてNosebeard LabsのAndreas Jaegersberger氏とRo Achterberg氏の功績を認めています。
さらに、CVE-2026-65406はBackground Assetsにおける不適切な検証に起因するロジックの問題で、機微なユーザーデータへのアクセスに悪用される恐れがあります。Background Assetsとは、ユーザーが初めてアプリを開く前にバックグラウンドで大容量ファイルやコンテンツをダウンロードできるようにするAppleのフレームワークです。これを発見したのはBaidu Securityの研究者Ye Zhang氏です。
macOS 27、204件の脆弱性にパッチ
一方、204件の脆弱性に対応した新しいmacOS 27のアップデートでは、AIが発見した2件の脆弱性、CVE-2026-65410とCVE-2026-65409も併せて修正されています。さらに、他の8件についてもAIアシスタントの発見によるものと明記されており、その中にはCUPSプリンターインターフェースを通じたリモートコード実行につながりかねない、特に厄介な脆弱性も含まれています。まずはそちらから見ていきましょう。
CVE-2026-43692は、CUPSにおける検証の問題で、リモートユーザーによってアプリの強制終了、あるいは悪意のあるコードの実行に悪用される可能性があります。この脆弱性の開示についてはAaron Grattafiori氏とNvidia AI Red Teamの功績とされています。
CUPSにおけるCVE-2026-64790は、権限昇格に悪用される可能性があります。ここでもGrattafiori氏とNvidia AI Red Teamが功績を認められています。
CVE-2026-43791は、StorageKitにおける検証の問題で、ファイルの読み取りに悪用される恐れがあります。Grattafiori氏、Nvidia AI Red Team、Meridian Miftari氏、そしてamys.websiteのAmy氏がこの脆弱性をAppleに報告しました。
CVE-2026-43690は、SMB(Server Message Block)ネットワーク通信プロトコルにおけるレースコンディション(競合状態)の脆弱性です。ローカルユーザーがこの欠陥を悪用してカーネルメモリを読み取ることが可能です。これを発見したのはCalifのBruce Dang氏で、ClaudeおよびAnthropic Researchと共同で行われました。
CVE-2026-43719は、もう一つのSMB関連のuse-after-free(解放済みメモリの使用)の脆弱性で、CalifのDang氏とJakob Pammer氏、Claude、Anthropicによって発見されました。Appleは「悪意を持って細工されたSMBネットワーク共有をマウントすると、システム終了につながる可能性がある」と警告しています。
CVE-2026-65376もまた別のSMB関連の問題で、こちらは範囲外読み取り(out-of-bounds read)の脆弱性です。Dang氏、Claude、Anthropic、そして재영 정氏によって報告されました。
CVE-2026-65374は、WebDAVプロトコルにおけるメモリ破損の問題で、コード実行につながる可能性があります。この脆弱性の発見についてはDang氏、Claude、Anthropic、He Wei(ギカク)氏の功績が認められています。
同じくWebDAVに存在するCVE-2026-65375は、予期しないシステム終了を引き起こす可能性があります。Appleはこの脆弱性についてDang氏、Claude、Anthropic、Devcore Research TeamのYingMuo氏の功績を認めています。
CVE-2026-43677は、WebDAVにおける範囲外書き込み(out-of-bounds write)の問題で、多数の研究者がその発見の功績を認められています。いつものトリオ(Dang氏、Claude、Anthropic)に加え、bubu氏、Omar Cerrito氏、HE WEI(ギカク)氏、Roman Zabicki氏、Richard Zana氏、Chris Bailey – Short Circuit氏、Aswin Kumar Gokulakannan氏、Surya Narayan Kushwaha氏の名前が挙げられています。®
