Appleは、iOS 18.7.11とiPadOS 18.7.11をリリースしました。極めて限定的な標的型攻撃に悪用された形跡のあるCoreGraphicsの脆弱性など、複数のセキュリティ上の問題に対処しています。
更新プログラムは2026年10月26日に公開されました。悪意あるファイルの処理によって任意のコードが実行される恐れがあり、旧型端末を保護するためのものです。Appleのリリース一覧によると、対象はiPhone XS、iPhone XS Max、iPhone XR、第7世代iPadです。
CoreGraphicsの脆弱性は「CVE-2026-86950」として追跡されており、境界外書き込みの問題です。Appleのセキュリティ情報によると、悪意を持って細工されたファイルを処理すると、任意のコードが実行される可能性があります。
この脆弱性を報告したのはMeta Product Securityです。Appleは根本原因であるメモリ安全性の問題について、境界チェックを改善して対処しました。
Appleは、iOS 27より前のバージョンを実行している特定の標的個人に対する「極めて高度な攻撃で、この脆弱性が悪用された可能性がある」との報告を把握していると説明しています。
この表現からは、広範囲での悪用が確認されたというより、限定的な標的を狙ったキャンペーンだったとうかがえます。参照したセキュリティ情報には、攻撃者、被害者、悪意あるファイルの形式、配布手段、悪用の時期はいずれも記載されていません。
侵害の痕跡（IoC）や、攻撃に伴うペイロードの詳細も示されていません。任意のコード実行と、リモート攻撃経路が確認されていることは区別して考える必要があります。
悪意あるファイルの処理は、コード実行の足がかりになり得ます。しかしAppleの説明だけでは、攻撃者がどのようにファイルを送り込んだのか、悪用にユーザー操作が必要だったのかは分かりません。
そのため、ゼロクリック攻撃、メッセージアプリ経由の配布、端末の完全な乗っ取りといった主張は、公表された根拠を超えています。技術的な問題の中心は境界外書き込みで、Appleは境界チェックの改善を修正内容としています。
ただし、影響を受ける解析ルーチン、メモリ破損が起きる条件、実行権限、報告された攻撃に関わった可能性のある他の脆弱性については、明らかにされていません。
今回の更新ではAudioコンポーネントのCVE-2026-65339も修正されました。Appleによると、ロジックの問題により、アプリがユーザーの機密情報を漏えいさせる可能性がありました。
チェックの強化で解消された脆弱性で、報告者としてdbg.reの@ordinal0ことMustafa Calap氏と、Meta Red Team XのNik Tsytsarkin氏が挙げられています。
このほか、CoreMediaの別の脆弱性では、悪意あるアプリがユーザーの許可なくカメラにアクセスできる恐れがありました。Appleはアクセス制限を厳格化して修正しています。提供された抜粋には、この脆弱性のCVE番号や報告者の情報は含まれていません。
AudioとこちらのCoreMediaの項目（CoreMediaの項目）には、いずれも提供された資料の範囲で悪用に関する警告はありません。アプリを介した両者の影響を、CoreGraphicsで想定される悪意あるファイル処理のシナリオと混同すべきではありません。
CoreGraphicsの問題には悪用に関する明示的な警告が付いているため、対象端末の所有者や管理者は、これらの更新を優先して適用してください。Appleは、ソフトウェアを最新の状態に保つことが、製品のセキュリティを維持する上で最も重要な対策の一つだとしています。
参照したセキュリティ情報では、複数の世代のiPadをまとめた不正な形式の対象機種欄が含まれていました。今回のリリースの互換性については、Appleの中央リリース一覧のほうが明確です。対象は、記載された3機種のiPhoneと第7世代iPadです。
組織は、貼り付けられた抜粋に載っている全機種が今回の更新を受け取れると決めつけず、リリース一覧で端末の対象可否を確認してください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/apple-patches-actively-exploited-ios-zero-day/
