新たなiOSの脆弱性、他アプリのデータが流出する恐れ

iPhoneのアプリは、本来ほかのアプリのファイルをのぞき見できないはずです。しかし、新たに公開されたiOSの脆弱性により、この保護が常に機能するとは限らない可能性が出てきました。

暗号資産取引所のBinanceは、特定のバージョンのiOSに影響する脆弱性について警告しました。悪意のあるアプリが別のアプリに属するファイルにアクセスし、端末に保存された機密情報が流出する恐れがあります。

Binanceは 11月10日の警告で、暗号資産ユーザーへのリスクを強調しました。ウォレットや取引所のアプリには、価値の高い情報が含まれている可能性があるためです。この脆弱性は、iOSがアプリ間でデータをどう保護しているのかという、より広範な懸念も呼び起こしています。ただし、悪用が確認された証拠はありません。

Binanceの発表の核心にある脆弱性

Binanceによると、worse_queryと名付けられたこの脆弱性は、iOS 26.7.1、27.0.1、そして新しいiOS 27.2に影響します。悪意のあるアプリが、他のアプリに属するファイルにアクセスできてしまう恐れがあります。なぜこれが問題なのかを理解するには、まずAppleが通常どのようにアプリ同士を分離しているかを見る必要があります。

iOSのアプリは「サンドボックス」と呼ばれる領域内で動作します。これは、アプリがファイルやデータを保管する専用のストレージ領域のようなものです。他のアプリが自由にアクセスできないよう、制限が設けられています。 

そのため、悪意のあるアプリがiPhoneに入り込んだとしても、本来は他のアプリのストレージを開いて中身を読み取ることはできないはずです。

ところが、セキュリティ研究者のforcequitOS氏は11月8日、worse_queryという概念実証（PoC）をGitHubで公開しました。iPhoneのジェイルブレイクやカーネルの悪用なしに、こうした制限を回避できることを示しています。

これは、GitHub上にあるだけのPoCではありません。開発者のChristoph Kolbicz氏は、この手法をWQ Filesというアプリで試しています。 

このデモにより、この手法が理論上の脆弱性にとどまらず、実際にアプリへ実装できることが示されました。ただし、動作するPoCがあるからといって、攻撃者が実際にこの欠陥をユーザーに対して悪用したことにはなりません。

リスクが高まる暗号資産ユーザー

Binanceが警鐘を鳴らしているのは、この脆弱性がすでに苦境にあるユーザーにもたらしうる特有のリスクです。 

Binanceのような暗号資産取引所は、機密性の高いユーザー情報の一部をアプリ内にローカル保存しています。保存先は、iOSが各アプリに割り当てた保護されたストレージ領域です。悪意のあるアプリがこの保護を回避して保存データを読み取れば、攻撃者が被害者のアカウントや資金にアクセスするために使える情報を入手できる可能性があります。

Binanceは、流出する恐れのある情報の例として、シードフレーズ、秘密鍵、ログイン認証情報を具体的に挙げています。

ただし、実際の被害範囲は、アプリがローカルに何を保存し、その情報をどう保護しているかによって変わります。アプリのファイルにアクセスできても、iOSのキーチェーンやその他の暗号化機構で守られた認証情報まで、攻撃者が取得できるとは限りません。

BleepingComputerの報道によると、攻撃者が暗号資産の保有者に対してこの脆弱性を悪用している証拠は、現時点で確認されていません。

影響が及ぶのは暗号資産アプリだけではありません。銀行アプリなどの金融アプリも機密情報をローカルに保存している場合があり、リスクはそれぞれの保存方法やセキュリティ対策によって異なります。公開された手法だけで、攻撃者が銀行の認証情報にアクセスしたり、認証保護を回避したりできると断定することはできません。

Appleは脆弱性を修正したのか

Binanceがm Xに投稿する前日、Appleは9件の脆弱性に対するセキュリティアップデートを公開しました。BleepingComputerによると、そのうちの1件はCVE-2026-113963として追跡されており、アプリが機密性の高いユーザーデータにアクセスできる恐れがあるといいます。 

これはBinanceが警告したサンドボックス回避とよく似ているように見えます。どちらも、アプリが本来アクセスできないはずのデータに到達できてしまう問題だからです。

しかしAppleは、この修正がworse_queryやBinanceが報告した根本的な問題にも対処しているかどうかを、明確には認めていません。 

両者の説明が似ている点は注目に値しますが、同一の脆弱性だと断定する根拠にはなりません。現時点では、Appleの最新のセキュリティアップデートによって、このエクスプロイトで示された抜け穴がふさがれたのかどうか、ユーザーには明確な確認が得られていません。

iOSユーザーはどうすればよいのか

Binanceの公開警告とAppleの曖昧な対応を踏まえると、Binanceや暗号資産アプリを使っていないユーザーであっても、安全だと思い込むべきではありません。

最新のセキュリティアップデートの適用は引き続き重要です。加えて、端末にインストールされているアプリを見直してください。特に、見慣れない提供元から入手したアプリは要注意です。

暗号資産ウォレットのリカバリーフレーズや秘密鍵が流出した疑いがある場合は、信頼できる端末で新しいウォレットを作成し、資産を移してください。iOSをアップデートするだけでは、すでに侵害されたリカバリーフレーズに紐づく資金は守れません。

• 信頼できないアプリの削除：不要なアプリ、特に見慣れないサードパーティ経由でインストールしたアプリを削除します。
• iOSのアップデート：worse_queryの修正をAppleが明確に認めていなくても、お使いの端末向けの最新セキュリティアップデートを適用します。
• アプリの更新：銀行、暗号資産、その他の機密情報を扱うアプリを最新の状態に保ちます。
• アカウント活動の監視：身に覚えのない取引やログインセッションなど、不正アクセスの兆候に注意します。
• 侵害された資金の移動：ウォレットの秘密情報が流出した可能性がある場合は、信頼できる端末で新しいウォレットを作成し、資金を移します。iOSのアップデートだけでは、流出したリカバリーフレーズを無効にできません。

worse_queryは、端末のセキュリティがアップデートの適用だけにとどまらないことを改めて示しています。インストールするアプリや、端末に保存する機密情報も同じくらい重要です。攻撃が確認されていなくても、こうした対策を講じておく価値はあります。

影響範囲とパッチの状況が確認されるまでは、見慣れないアプリに注意し、端末を最新の状態に保ってください。 

その他のニュース： AppleがiOS 27.2.1とiPadOS 27.2.1を公開しました。iMessageのグループチャット、Bluetoothペアリング、AirPlayに影響するセキュリティ脆弱性に対処しています。あわせて、旧機種向けのアップデートも配信し、ユーザーの保護を支援します。