AppleがiOS 27.2アップデートでiPhone・iPadの163件の脆弱性を修正

Appleは、iPhoneとiPad向けに大規模なセキュリティアップデートをリリースしました。今回の更新では、機密情報の漏えい、悪意あるコードの実行、重要なセキュリティ保護の無効化につながるおそれのある脆弱性に対処しています。

10月26日に公開された iOS 27.2およびiPadOS 27.2は、WebKit、オペレーティングシステムのカーネル、Apple Intelligenceをはじめとする各種コンポーネントの脆弱性を修正します。セキュリティ企業の Tenableは、Appleのセキュリティ情報に関連する163件のCVEを掲載しています。これにはブラウザのセキュリティ、アプリケーションの権限、保護されたシステムリソースに影響する脆弱性が含まれます。

悪用された場合の影響は大きく、個人ユーザーだけでなくApple製デバイスを管理する組織にとっても重要なアップデートです。

AppleがWebKitとカーネルの脆弱性を修正

特に懸念されるのは、Safariを支えるブラウザエンジンのWebKitと、OSの重要な機能を管理するiOSカーネルに影響する脆弱性です。

WebKitの脆弱性には、細工されたWebコンテンツによってメモリ破損や不正なコード実行を引き起こされる可能性のあるものが含まれます。ブラウザは外部のWebサイトのコンテンツを日常的に処理するため、こうした脆弱性は特に問題となります。

カーネルの脆弱性は、これとは異なるリスクをもたらします。脆弱性の内容によっては、悪用に成功すると、悪意あるアプリケーションが保護された情報にアクセスしたり、システムの動作を妨害したり、セキュリティ境界を突破したりするおそれがあります。

今回のアップデートで修正されたカーネルの脆弱性には、次のものがあります。

• CVE-2026-112624: アプリケーションがプライバシー設定を回避できる可能性のある脆弱性
• CVE-2026-112665: アプリケーションがカーネルのメモリレイアウトを特定できる可能性のある情報漏えいの脆弱性
• CVE-2026-112576: アプリケーションがコピーオンライトのメモリに想定外の変更を加えられる可能性のある脆弱性

Appleは、検証の強化、メモリ処理の改善、セキュリティチェックの追加によってこれらの脆弱性に対処しました。

各脆弱性の悪用に必要な条件は異なります。また、Appleのセキュリティ情報では、これらを組み合わせて実際の攻撃チェーンを構築できるとは示されていません。

Apple Intelligenceとプライバシー関連の脆弱性で機密データが漏えいするおそれ

今回のアップデートでは、個人情報の保護を損なう可能性のある脆弱性にも対処しています。

CVE-2026-86987はApple Intelligenceに影響する脆弱性で、リモートの攻撃者がユーザーの機密データにアクセスできる可能性があります。この脆弱性の影響を受けるのは、iOS 27.2全体の対象よりも限られたデバイスで、iPhone 15 Pro以降や、一部の対応iPadモデルが該当します。具体的な対象デバイスは、Appleのセキュリティ情報で確認できます。

もう1件のCVE-2026-112500は、Appleの「メールを非公開」機能に影響します。この機能は、Webサイトやサービスとやり取りする際に、ユーザーが個人のメールアドレスを隠せるものです。Appleによると、この脆弱性により、プライバシー保護機能を有効にしていてもユーザーの元のメールアドレスが露呈するおそれがありました。

Appleは、Apple Intelligenceの脆弱性については権限（エンタイトルメント）チェックを追加して対処し、「メールを非公開」の問題については制限を強化して修正しました。

このほかにも、アプリケーションの権限、証明書の検証、保護されたシステムリソースに影響する脆弱性があります。

たとえばCVE-2026-112652では、悪意あるアプリケーションが証明書の検証を回避できる可能性があります。これにより、信頼できる接続を確認するセキュリティ機構が弱体化するおそれがあります。

アプリ、ファイル、接続デバイスに影響するその他の脆弱性

AppleのセキュリティフィックスはWebKitとカーネル以外にも、複数のコンポーネントの脆弱性に対処しています。

こうした脆弱性は、今回のアップデートが対処する攻撃対象領域が幅広いことを示しています。

脆弱性によっては、攻撃者が悪意あるコンテンツを制御する、アプリケーションをインストールさせる、デバイスを接続する、あるいは標的の近くに物理的に接近するといった条件が必要です。そのため、脆弱性が存在するからといって、影響を受けるすべてのiPhoneがユーザー操作なしにリモートから侵害されるわけではありません。

iOS 27.2の脆弱性は攻撃に悪用されているのか

Appleは、iOS 27.2で修正された脆弱性について、悪用が確認されているとは公表していません。ただし、過去のiPhoneへの攻撃を見れば、セキュリティチームがアップデートの適用を優先すべき理由がわかります。

Appleは9月、特定の個人を狙った高度な攻撃で悪用された可能性があるとして、 CoreGraphicsのゼロデイ脆弱性を修正しました。

2026年の初めには、研究者が iOSエクスプロイトキット「Coruna」を発見しました。このキットは5つのエクスプロイトチェーンにまたがる23件の脆弱性を含み、数千台のiPhoneを侵害した攻撃との関連が指摘されています。

いずれの事案も、iOS 27.2で修正された脆弱性とは関連づけられていません。ただし、攻撃者がソフトウェアの弱点を組み合わせて保護を回避し、モバイルデバイスを侵害する手口を示す事例といえます。

影響を受けるiPhoneとiPadは

AppleはiOS 27.2とiPadOS 27.2を、次のデバイス向けに公開しました。

• iPhone: iPhone 11以降
• iPad Pro 12.9インチ: 第4世代以降
• iPad Pro 11インチ: 第2世代以降
• iPad Air: 第4世代以降
• iPad: 第9世代以降
• iPad mini: 第6世代以降

すべての脆弱性がこの一覧のすべてのデバイスに影響するわけではありません。Apple Intelligenceなど、新しいハードウェアでのみ利用できるコンポーネントもあります。

Appleはあわせて、前世代のOSにとどまっているデバイス向けに iOS 26.7.2およびiPadOS 26.7.2もリリースしました。

これらのアップデートには別のセキュリティ情報が用意されており、対象となる脆弱性がiOS 27.2およびiPadOS 27.2と同じとは限りません。ユーザーは、お使いのデバイスで利用可能な最新のセキュリティアップデートを適用し、どの脆弱性が該当するかをAppleのセキュリティ情報で確認してください。

iPhoneユーザーとセキュリティチームが今すぐ行うべき対策

Apple製デバイスを管理する組織は、適切なセキュリティアップデートの展開を優先し、インストールが正常に完了したことを確認する必要があります。

推奨される対応は次のとおりです。

• 最新のアップデートをインストールする。 「設定」＞「一般」＞「ソフトウェア・アップデート」から、該当するバージョンをインストールします。
• 管理対象デバイスを確認する。 モバイルデバイス管理（MDM）ツールを使い、古いOSバージョンで動作しているデバイスを特定します。
• リスクの高いユーザーを優先する。 経営幹部、管理者、機密情報を扱う従業員のパッチ適用状況を確認します。
• アプリケーションの権限を見直す。 機密情報やデバイス機能への不要なアクセスを制限します。
• デバイスのコンプライアンスを徹底する。 可能な場合は、デバイス管理や条件付きアクセスのポリシーを使い、セキュリティ要件を満たさないデバイスから社内リソースへのアクセスを制限します。
• 自動アップデートを有効にする。 今後のセキュリティリリースから適用までの遅れを減らします。

組織は、社内のメール、アプリケーション、機密データにアクセスする従業員所有のデバイスも考慮に入れる必要があります。

大規模なデバイス群を管理するセキュリティチームにとって、パッチの一貫した展開は特に重要です。アップデートが遅れると、既知の脆弱性が複数のエンドポイントで放置され、組織の攻撃対象領域が拡大するおそれがあります。

セキュリティチームがなすべきことは明快です。影響を受けるデバイスを特定し、適切なアップデートを展開し、インストールの完了を確認することです。

関連記事: iPhoneを狙う新たな脅威については、 DarkSwordスパイウェアが侵害したデバイスからAppleキーチェーンの認証情報や暗号資産ウォレットのデータを盗み出す手口をご覧ください。