Apple、CoreGraphicsで悪用中のiOSゼロデイ脆弱性を修正

Appleは、iOS 18.7.11およびiPadOS 18.7.11のアップデートを公開し、3件のセキュリティ脆弱性を修正しました。このうち1件は、高度な標的型攻撃に関連するCoreGraphicsの脆弱性です。

アップデートは2026年10月26日に公開されました。あわせて、AudioとCoreMediaのコンポーネントに影響する情報漏えいや、カメラへの不正アクセスの問題も修正しています。

最も深刻な脆弱性は「CVE-2026-86950」で、細工されたファイルをデバイスが処理すると、任意のコードが実行される恐れがあります。Appleは、この問題を報告したMeta Product Securityに謝意を示しています。

Securityflaw patching

悪用が確認されたCoreGraphicsの脆弱性

セキュリティ情報によると、CoreGraphicsの脆弱性の原因は境界外書き込みです。これは、割り当てられた範囲を超えてメモリを書き換えてしまうメモリ破損の一種です。Appleは境界チェックを強化して、この問題に対処しました。

セキュリティ情報には「Appleは、iOS 27より前のバージョンのiOSにおいて、特定の標的となった個人に対する極めて高度な攻撃で、この問題が悪用された可能性があるとの報告を把握しています」と記載されています。

この表現からは、無差別な攻撃ではなく、選ばれた被害者に対する悪用の報告があったことがうかがえます。ただしAppleは、攻撃者の正体や被害者の数、報告された攻撃活動の時期を明らかにしていません。

セキュリティ情報は、不正なファイルの処理が引き金になると示しています。一方で、ファイル形式や配布手段、悪用にユーザー操作が必要かどうかは明記していません。この脆弱性が他の脆弱性と組み合わされたかどうかも不明です。そのため、今回の開示を、ゼロクリック攻撃や特定のスパイウェアキャンペーン、デバイスの完全な侵害を裏付けるものと解釈すべきではありません。

今回のアップデートでは、機密情報とカメラの権限に関する2件の脆弱性も修正されています。

「CVE-2026-65339」はAudioコンポーネントに影響します。ロジックの問題により、アプリケーションがユーザーの機密情報を漏えいさせる恐れがありました。Appleはチェックを強化してこの脆弱性を修正しました。Audioの脆弱性を報告したのは、Mustafa Calap氏（dbg.reの@ordinal0として知られる）と、Meta Red Team XのNik Tsytsarkin氏で、Appleは両氏に謝意を示しています。

3件目の「CVE-2026-86990」はCoreMediaに影響し、悪意のあるアプリケーションがユーザーの許可なくカメラにアクセスできる恐れがありました。Appleはアクセス制御の問題として制限を厳格化して修正し、発見者としてMustafa Calap氏に謝意を示しています。

CoreGraphicsの項目と異なり、AudioとCoreMediaの脆弱性に関するセキュリティ情報には、実環境での悪用の有無についての記載がありません。CVSSの深刻度スコアや、これらの問題で想定される攻撃手法の技術的な詳細も示されていません。

Appleのセキュリティリリースのページでは、iOS 18.7.11とiPadOS 18.7.11の対象デバイスとして、iPhone XS、iPhone XS Max、iPhone XR、第7世代iPadを挙げています。セキュリティ情報本体のデバイス記載には誤解を招く部分があり、このリリース一覧のほうが対応状況を正確に確認できます。

Securityflaw patching

これらのデバイスを利用するユーザーや管理者は、該当するアップデートを優先的に適用してください。Appleが悪用の報告を認めていることを踏まえると、特に重要です。

企業の防御担当者にとって、今回の開示は、悪意あるファイル拡張子や配布経路を想定して対策を判断するより、パッチ適用を優先すべきことを示しています。セキュリティ情報は、そのどちらも特定していないためです。

Appleは、ソフトウェアを最新の状態に保つことが重要なセキュリティ対策だと強調しています。今回のリリースを適用すれば、開示された脆弱性は修正されます。ただし、すでに侵害された可能性のあるデバイスへの対処については、セキュリティ情報に記載がありません。

SOCにアラートの文脈を提供し、インシデントを迅速に阻止しましょう。1万6,000のSOCの脅威インテリジェンスを統合。