Appleは先月公開したセキュリティパッチを、旧型のiPhoneとiPadにも提供しました。iOS端末への「極めて高度な」標的型攻撃で悪用されたゼロデイ脆弱性に対処するものです。
Appleは9月、iOS 26.7.1、iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1を搭載する端末向けに、同じ脆弱性を修正していました。
この境界外書き込みの脆弱性（CVE-2026-86950）は、Meta Product Securityが発見しました。問題があったのはCoreGraphicsです。iOS、macOS、iPadOS、watchOS、tvOSで、2次元のベクターグラフィックス、テキスト描画、画像レンダリングに使われるフレームワークです。
Visit Advertiser websiteGO TO PAGE
境界外書き込みの脆弱性を悪用されると、割り当てられたメモリバッファの外側にデータを書き込まれる恐れがあります。その結果、攻撃者にプログラムをクラッシュさせられたり、データを破損されたり、リモートでコードを実行されたりする可能性があります。
Appleは月曜日、次のように注意を促しました。「iOS 27より前のバージョンのiOSでは、特定の標的とされた個人に対する極めて高度な攻撃で、この問題が悪用された可能性があるとの報告を把握しています」
「悪意を持って細工されたファイルを処理すると、任意のコードが実行される恐れがあります。境界外書き込みの問題は、境界チェックを改善することで対処しました」
今週のセキュリティパッチにより、Appleは新たにiPhone XS、iPhone XS Max、iPhone XR、iPad（第7世代）、iPad Air（第4世代以降）、iPad（第9世代以降）、iPad mini（第6世代以降）でもこの脆弱性を修正しました。
Appleは、CVE-2026-86950が悪用されたのは極めて限定的な標的型攻撃のみだとしています。ただし、攻撃の可能性を断つため、今回のバックポート版パッチを必ず適用することを強く推奨します。
この脆弱性により、Appleが今年、攻撃で悪用されたゼロデイとして修正したのは2件目です。もう1件（CVE-2026-20700）は、Appleのオペレーティングシステムが使うダイナミックリンクエディタ「dyld」の任意コード実行の脆弱性です。こちらも「極めて高度な」標的型攻撃で悪用され、2月に修正されました。
Appleは今年前半にも、Bluetoothの通信圏内にいる攻撃者がユーザーの会話を盗聴できてしまう、重大度の高いBeats Studio Budsの脆弱性（CVE-2025-20701）を修正しています。さらに、エクスプロイトキット「Coruna」を使ったサイバースパイ活動や暗号資産窃取の攻撃で狙われた4件の脆弱性についても、旧型のiPhoneとiPadにパッチを提供しました。
