Binanceは、Appleの iOS 26.7.1、27.0.1、27.2に存在する脆弱性について警告しています。この脆弱性を悪用されると、サードパーティ製アプリが他のアプリの非公開ファイルを読み取れる可能性があります。対象には、暗号資産のシードフレーズ、秘密鍵、ログイン認証情報なども含まれます。
同取引所は、この問題はiOSレベルのもので、Binanceアプリだけに影響するものではないと説明しています。
「脆弱性（worse_query）は iOS 26.7.1、27.0.1、27.2 に影響し、悪意のあるアプリが他のアプリのローカルファイルを読み取れるようになります。これにより、エコシステム全体でシードフレーズ、秘密鍵、ログイン認証情報が危険にさらされます」と、Binanceは述べています。
現時点で暗号資産の損失は確認されていません。ただしBinanceは、予防措置として直ちにアップデートを適用するようユーザーに呼びかけています。
同社は、不要なアプリや信頼できないアプリを削除したうえで、iOSとその他のアプリを最新バージョンに更新するよう推奨しています。
侵害の疑いがある場合は、クリーンな端末で新しいウォレットを作成して資金を移し、有効なログインセッションをすべてリセットするよう勧めています。
エクスプロイトが公開済み
「worse_query」は、公開されているiOSのサンドボックス回避（エスケープ）手法です。アプリがセキュリティ上の境界を越えて、他のアプリのストレージにアクセスできるようになります。
昨日、この手法を利用した攻撃を行う「WQ Files」というツールを使った概念実証（PoC）エクスプロイトが公開されました。WQ Filesは「worse_query」を利用して、ジェイルブレイクなしで他のアプリのデータを閲覧、エクスポート、編集、削除できます。
An attacker could
攻撃を成立させるには、このツールをiPhoneにインストールする必要があります。ただし攻撃者は、AppleのApp Storeを迂回し、サイドロード形式のアプリとして信頼できない配布元から広める可能性があります。
WQ Filesは、iOS 26.7.1、27.0.1、27.2で動作することが確認されています。これはBinanceが警告したバージョンと同じです。
Appleは11月9日にiOSのセキュリティアップデートを公開しました（iOS 27.2.1、26.7.3、18.7.12）。このアップデートでは9件の脆弱性が修正されており、その1つであるCVE-2026-113963は、アプリが機密性の高いユーザーデータにアクセスできる可能性があるものです。
ただし、これがBinanceの警告している問題と同じものかどうかは明らかになっていません。
CVE-2026-113963の問題は、László Várady氏が報告しました。同氏は、このアクセスがApp Groupコンテナではなく、App Intentsを経由して行われることを突き止めました。
BleepingComputerはAppleに連絡を取り、説明とコメントを求めています。詳細が分かり次第、記事を更新します。
