Appleは、iOS 26.7.1およびiPadOS 26.7.1を公開し、CoreGraphicsのメモリ破損の脆弱性「CVE-2026-86950」を修正しました。この脆弱性は、悪意を持って細工されたファイルをデバイスが処理すると、任意のコードを実行される恐れがあります。
Appleによると、この脆弱性は、iOS 27より前にリリースされたバージョンのiOSを使う特定の個人を狙った「極めて高度な攻撃」で悪用された可能性があります。
2026年9月28日に公開されたこのセキュリティアップデートでは、CoreGraphicsの境界外書き込みの問題が修正されました。CoreGraphicsは、iOSやiPadOS全体で視覚コンテンツや文書関連コンテンツを処理するために使われる、Appleのグラフィックス描画フレームワークです。
「CVE-2026-86950」として追跡されているこのバグは、CoreGraphicsが攻撃者の制御するファイルデータを処理する際に生じます。境界外書き込みとは、ソフトウェアが割り当てられたメモリ領域の外側にデータを書き込んでしまう現象です。
セキュリティ上重要なコードでは、このようなメモリ安全性の欠陥によって隣接するメモリが破損し、攻撃者がプログラムの実行フローを乗っ取る可能性があります。
Appleのセキュリティ情報によると、特別に細工されたファイルを処理すると、任意のコードが実行される恐れがあります。同社は境界チェックを強化することで問題を解決しました。境界チェックは、処理が有効なメモリ範囲内にとどまるようにするための防御策です。
ただし、セキュリティ情報には、悪意あるファイルの形式、攻撃の配布方法、影響を受けるCoreGraphicsのコードパス、技術的な攻撃チェーン、標的となった対象の身元などは記載されていません。
こうした限定的な情報開示は、Appleのセキュリティアップデートの通常の運用に沿ったものです。同社は一般に、調査が完了し、パッチが提供されるまで脆弱性の詳細を公表しません。
Appleが、この問題は極めて高度な攻撃で悪用された可能性があると述べている点は重要です。この表現からは、大規模かつ無差別に悪用されたというより、標的を絞った攻撃が想定されていることがうかがえます。
単体の任意コード実行の脆弱性が、直ちにデバイスの完全な乗っ取りにつながるとは限りません。高度なモバイル攻撃チェーンでは、攻撃者がコンテンツ処理の脆弱性に、サンドボックスの回避、権限昇格、セキュリティ機能のバイパスといった別の脆弱性を組み合わせることがあります。
Appleは、CVE-2026-86950が他の脆弱性と連鎖して使われたかどうかを確認していません。また、報告された攻撃活動を特定の攻撃グループによるものとも結び付けていません。
それでも、ファイル解析の脆弱性はモバイルユーザーにとって特に重大です。悪意あるコンテンツは、メッセージングアプリ、メールの添付ファイル、Webリンク、クラウドで共有された文書、システムレベルの描画コンポーネントを呼び出すアプリなどを通じて届けられる可能性があるためです。
特に、標的になりやすい個人や組織は、心当たりのないファイルや添付ファイルの扱いに慎重を期してください。
このアップデートは、iPhone 11以降、iPad Pro 12.9インチ（第3世代）以降、iPad Pro 11インチ（第1世代）以降、iPad Air（第3世代）以降、iPad（第8世代）以降、iPad mini（第5世代）以降で利用できます。
Appleは、iOS 26.7.1とiPadOS 26.7.1を、2026年9月28日付のセキュリティリリースに掲載しています。
組織では、管理下のiPhoneとiPadへの展開を優先し、モバイルデバイス管理（MDM）のテレメトリでインストール済みバージョンを確認してください。iOS 27より前のビルドのままで、影響を受ける可能性があるデバイスについては調査が必要です。
個人ユーザーは、「設定」>「一般」>「ソフトウェアアップデート」からパッチを適用できます。Appleが実環境での悪用の可能性を示していることから、iOS 26.7.1またはiPadOS 26.7.1の適用は、通常のメンテナンスではなく、緊急の防御策として扱ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/apple-patches-iphone-coregraphics-flaw/
