Appleは月曜日、iOS、iPadOS、macOS、watchOS、visionOS向けのセキュリティアップデートを公開し、10件の脆弱性を修正しました。そのうち半数は、BluetoothとAirPlayのペアリングに関するものです。
うち5件の脆弱性は、9つのリリースすべてで修正されています。対象は、iOSおよびiPadOSの27.2.1、26.7.3、18.7.12、macOSのGolden Gate 27.2.1、Tahoe 26.7.3、Sequoia 15.8.3、watchOSの27.2.1と26.6.1、そしてvisionOS 27.2.1です。
5件のうち3件は、ペアリングコードの試行回数制限に関する問題です。AirPlayの脆弱性「CVE-2026-113968」は、Bluetoothの通信範囲内から悪用される可能性があります。rapportdコンポーネントの「CVE-2026-113969」は、攻撃者が同一ネットワーク上に存在する必要があり、AirPlayのペアリングコードが対象です。
3件目のCoreUtilsの「CVE-2026-113964」は、同様の制限回避に加えて、もう一つの影響をもたらします。Appleは「Bluetoothの通信範囲内にいる攻撃者が、ペアリングコードの試行回数制限を回避し、ユーザーの操作なしにデバイスとペアリングできる可能性があります」と説明しています。
CoreUtilsのもう一つの脆弱性「CVE-2026-113965」についても、Appleは同様に「悪意のあるBluetoothデバイスが、ユーザーの操作なしにペアリングを確立できる可能性があります」と記しています。
5件目は「CVE-2026-113970」です。Bluetoothにおけるuse-after-free（解放後使用）の脆弱性で、Bluetoothの通信範囲内にいる攻撃者がプロセスメモリを破損させる恐れがあります。
メッセージ（Messages）の脆弱性2件は、多くのOSで修正されました。うち「CVE-2026-113961」は、リモートの攻撃者がiMessageのグループチャットに参加し、そのメッセージを受信できる可能性があります。もう一方の「CVE-2026-113960」は、後からグループに追加された人に、それ以前の会話が見られてしまう恐れがあります。
同じリリースでは、Node2Shellと呼ばれるBrotliの脆弱性「CVE-2026-111497」も修正されました。この脆弱性は攻撃者によって実際に悪用されていますが、Apple製品が攻撃を受けた形跡はありません。
2件の脆弱性は、特定のプラットフォームに限られます。「CVE-2026-113963」はApp Intentsの認可に関する問題で、アプリが機密性の高いユーザー情報にアクセスできてしまう恐れがあります。この脆弱性は、iOSおよびiPadOS 27.2.1、watchOS 27.2.1、visionOS 27.2.1の情報にのみ記載されています。
「CVE-2026-113971」が記載されているのは、iOSおよびiPadOS 18.7.12のアドバイザリのみです。このアップデートの対象は、iPhone XS、XS Max、XR、第7世代iPadです。Appleは「物理的にアクセスできる攻撃者が、ロック画面からデバイスをAirPlayレシーバーとペアリングできる可能性があります」と説明しています。
Appleは、5件の脆弱性について自社の発見としています。匿名の研究者は、メッセージの2件の脆弱性と「CVE-2026-113964」を報告しました。App Intentsの脆弱性を報告したのは、László Várady氏です。
いずれのアドバイザリにも、実際の攻撃での悪用に関する記載はありません。詳細はAppleのSecurity Releasesページで確認できます。
