Appleは同社史上最大規模となる脆弱性の一斉修正を実施しました。9月の単一サイクルで260件を超える固有のCVEが公表され、同社エコシステムのほぼ全体がアップデート対応に追われることとなりました。
Appleは9月14日、iOS 27およびiPadOS 27、iOS 26.7およびiPadOS 26.7、macOS Golden Gate 27、macOS Tahoe 26.7、macOS Sequoia 15.8をリリースしたほか、tvOS、watchOS、visionOS、Safari、Xcodeの新バージョンも公開しました。アップデートの全リストは、スマートフォン、タブレット、コンピューター、ウォッチ、ヘッドセット、メディアボックス、ブラウザ、開発者向けツールにまで及んでいます。
突出した件数
最も目を引く数字は新しいOS群に集中しています。iOS 27とiPadOS 27では122件の脆弱性が修正され、macOS Golden Gate 27に至っては204件にも達しました。Appleは今春すでに大規模な修正の波を乗り越えていましたが、9月のリリースはそれを大きく上回る規模となりました。
122件と204件を単純に合算することはできません。多くの問題は共有コンポーネントに影響しており、複数のシステムにまたがって重複してカウントされているためです。そのため、260件超という過去最多の数字は、サイクル全体を通じた固有のCVE件数を指しています。同じ理由から、この数字は7月に報じられた数百件規模の修正とも矛盾しません。7月の集計はプラットフォームごとに別々の記録として数えられていました。
iPhoneとiPadにおける深刻な欠陥
iPhoneとiPadの問題の中には、単なる見た目の不具合とは程遠い、深刻なエラーが含まれています。CVE-2026-43689は悪意あるアプリケーションがroot権限を取得することを可能にし、CVE-2026-84607は隔離されたアプリケーションがカーネル権限で任意のコードを実行できる状態を引き起こしていました。また別の脆弱性であるCVE-2026-65414は、Bluetooth経由でのコード実行につながる恐れがありました。WebKitの脆弱性によってAppleの保護機構が突破された最近のトラブルを踏まえると、今回の事態は特に深刻なものとして受け止められています。
Macではさらに長いリスト
Macに関してはリストがさらに長くなっています。CUPS印刷システムの欠陥であるCVE-2026-43692は、リモートユーザーがクラッシュを引き起こしたり任意のコードを実行したりすることを可能にしていました。一方、SMBのCVE-2026-43690はローカルユーザーにカーネルメモリへのアクセスを許してしまう問題でした。8月には、攻撃者がすでに別の重大なmacOSの脆弱性を悪用してroot権限を取得し、マイニングソフトを仕込む事例が発生しており、潜在的に危険な高権限のエラーは決して机上の脅威とは言えません。
バグハンティングに加わるAI
今回9月のリリースは、もう一つの傾向も浮き彫りにしています。修正された脆弱性のうち10件について、Appleはバグハンティングの協力者として人工知能ツールの名を挙げています。文書にはClaudeやAnthropic Researchの名前が記載されているほか、macOSのいくつかの問題はNvidia AI Red Teamの協力によって発見されました。現時点では、AIは発見した問題を自動的に修復するというよりも、弱点を見つけ出す面でより顕著に貢献していると言えます。
悪用の実例はないものの、迅速な分析が必要
Appleは今回の新たな脆弱性について、いずれも積極的に悪用されているとはこれまでのところ発表していません。The Registerが実施した集計では260件を超える固有のCVEが確認され、今回9月のリリースは同社史上最大規模のパッチサイクルと位置づけられています。とはいえ、詳細な説明が公開されたことで、専門家だけでなく攻撃者側にも、修正されたエラーを分析するための十分な情報が渡っていることになります。
対応デバイスを所有するユーザーは、現行バージョンへのアップデートを長く先延ばしにせず実施すべきです。信頼できないファイルやネットワークリソース、Bluetoothデバイスを扱ったり、外部のウェブページを日常的に開いたりするデバイスでは、特に急いでアップデートすることが望まれます。
修正に追われた激動の一年
直近の大規模な波は7月末にありました。このときはApple各プラットフォームでのアップデートによって、合計300件を超える脆弱性が修正されています。今回9月の記録は集計方法が異なり、単一サイクルにおける260件超の固有CVEを指しています。
今回のリリースの1か月前には、Metaの専門家がImageIOにおける画像処理関連のエラーを発見していました。これはiPhone、iPad、Macにおいて任意のコード実行につながる恐れのあるものでした。こうしたコンポーネントは、ユーザーにほとんど気づかれることなく悪意あるデータを処理してしまう可能性があるため、特に危険とされています。
2026年の年明けも波乱含みでした。2月には、すでに高度な標的型攻撃で悪用されていたゼロデイ脆弱性をAppleが緊急に修正する事態となり、これは同社の複数の種類のデバイスに同時に影響を及ぼすものでした。
翻訳元: https://meterpreter.org/apple-record-cve-patch-cycle/
