Apple、iOS 27でセキュリティアップデートを公開 ― 120件超の脆弱性を修正

Appleは iOS 27 および iPadOS 27 をリリースし、同社のモバイル向けとしては過去最大級のセキュリティ修正パッケージを提供しました。今回のリリースでは、カーネル、サンドボックス機構、WebKit、認証サービスなどセキュリティ上重要なコンポーネントに影響する不具合を含め、約126件の脆弱性に対処しています。

2026年9月14日に公開された iOS 27 は iPhone 11 以降の機種に対応し、iPadOS 27 は最近の iPad Pro、iPad Air、iPad、iPad mini の各ハードウェアをサポートします。Appleはソフトウェアアップデートを重要な防御策と位置づけ、ユーザーに対して端末を常に最新の状態に保つよう呼びかけています。

Apple、iOS 27でセキュリティアップデートを公開

今回のアップデートはApple各プラットフォームにまたがる90以上のコンポーネントに及んでおり、その影響範囲の広さを物語っています。対象となったコンポーネントには、AppleKeyStore、Authentication Services、Foundation、Safe Browsing、Sandbox、Security、Transparency, Consent, and Control(TCC)、WebKitなどが含まれます。

これらの脆弱性が悪用された場合、深刻な結果を招きかねないものも複数ありました。Appleは、メモリ破損の不具合、情報漏えいのバグ、サービス拒否(DoS)を引き起こす条件、そして攻撃者や悪意あるアプリケーションがシステムの完全性を損なう恐れのある論理エラーに対処しています。

今回のアップデートには複数のカーネル関連の修正も含まれています。このレベルでの悪用が成功すると、攻撃者に端末に対する広範な制御権を与えかねないため、重要な修正といえます。

セキュリティ研究者らは、悪意あるアプリがルート権限を取得できてしまう欠陥についても指摘しています。これが悪用されると、通常はアプリをオペレーティングシステムやユーザーデータから隔離している保護機構が回避されるおそれがあります。

さらにAppleは、特定の条件下でリモートコード実行を可能にするBluetooth関連の問題も修正しました。信頼できない無線環境にさらされる端末では、このアップデートを速やかに適用することが不可欠です。

Appleの勧告によれば、公開時点で iOS 27 の脆弱性が実際に悪用されたことを示す情報はありません。しかし、技術的な脆弱性の詳細やCVE情報が公開されることで攻撃者側の調査が加速し、アップデートが広く行き渡った後も未パッチの端末が標的となる可能性は高まります。

Vulnerabilitydiscovery service

悪用が確認されていないからといって、リスクが低いと解釈すべきではありません。大規模なセキュリティリリースには、ブラウザ経由のコード実行バグとカーネルの権限昇格の欠陥を組み合わせるなど、複数の脆弱性を連鎖させてモバイルプラットフォームの複数の防御層を突破できてしまうケースがしばしば含まれています。

企業のセキュリティチームは、今回のアップデートを重要なパッチ適用イベントとして扱うべきです。モバイルデバイス管理(MDM)プラットフォームを利用している組織は、iOS 27 との互換性を評価し、必要に応じてアップデートポリシーを徹底するとともに、サポート対象外の古いソフトウェアバージョンのまま残っている端末を洗い出す必要があります。

セキュリティチームはまた、モバイルのテレメトリを監視し、異常なアプリの挙動、予期しない設定変更、権限の不正使用の兆候がないか確認すべきです。

Appleはまた、iOS 27 へすぐに移行しないユーザー向けにiOS 26.7 および iPadOS 26.7 もリリースしました。このリリースには、新しいメジャーバージョンと共通する75件の脆弱性を含む80件超の修正が含まれており、対象端末や、完全なプラットフォームアップグレードを見送る組織に向けたセキュリティメンテナンスの選択肢を提供しています。

ユーザーは「設定」→「一般」→「ソフトウェア・アップデート」からiOS 27をインストールできます。Appleは、iOS、iPadOS、tvOS、watchOS、visionOSを一度アップグレードすると、以前のバージョンにダウングレードすることはできないと注意を促しています。

マルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。 早期検知でインシデントを未然に防ぐANYRUNをお試しください。