iOS 26.7.1、細工ファイル1つでiPhoneが乗っ取られる欠陥を修正

Appleは、画像の表示やPDFの読み込みを担うシステムの一部、CoreGraphicsに存在していた脆弱性を修正するため、iOS 26.7.1を公開した。この欠陥を悪用すると、細工されたファイルひとつで、攻撃者がiPhoneやiPad上でコードを実行できる。Appleによれば、すでに特定の人物を狙った攻撃に使われた可能性があるという。iOS 27ではなくiOS 26を使っているなら、今日インストールしておきたいアップデートだ。

危険が潜んでいるのは、ユーザーに確認を求めることなく、スマートフォンが日常的に処理している機能だ。写真、PDF、チャット内のプレビュー、メールの添付ファイルは、画面に表示される前にすべてCoreGraphicsを通る。このレベルに欠陥があれば、被害者が不審なものをインストールする必要はない。罠を仕掛けたファイルを開く、あるいは単に表示するだけで、端末の制御を奪われるおそれがある。

Appleはこのバグを「境界外書き込み」と説明している。データが本来割り当てられたメモリー領域を越えて書き込まれ、攻撃者が置き換えようとするコードを上書きできてしまうプログラミング上のエラーだ。Appleによると、今回の修正では境界チェックを強化した。同社はまた、iOS 27より前のバージョンを対象に、特定の個人を狙った極めて高度な攻撃でこの問題が悪用された可能性があるとの報告を把握しているという。

おすすめの記事iOS 27パブリックベータ：Siri AIは機能する — だが誰のために、どこで？

この脆弱性をAppleに報告したのは、Metaの製品セキュリティチームだ。同チームは、日々膨大な量の画像やファイルを扱うWhatsApp、Instagram、Facebook Messengerのセキュリティも担っている。TechCrunchの報道によると、どちらの企業も、誰が標的になったのか、被害に遭った人は何人か、攻撃の背後に誰がいたのかを明らかにしていない。

Appleは過去にも、「特定の個人を狙った極めて高度な攻撃」という同じ表現を使ってきた。そうした事例では、広範囲に感染を広げるものではなく、ジャーナリストや活動家、政府関係者などを狙う商用スパイウェアとの関連が指摘されている。大半のiPhoneユーザーにとって、現実的な危険性はそれほど高くない。ただし、修正パッチが公開されると、研究者や犯罪者が変更点を分析し、脆弱性を悪用する手法を再構築しようとするため、未更新の端末はその後数週間で狙われやすくなる。

今回のアップデートで解消されない問題もある。Appleのセキュリティ情報に記載されている対象はiPhone 11以降のため、iOS 26を実行できない旧モデルには今回の修正が提供されない。これまでの報告では、Sequoiaより古いバージョンのMac向けにパッチが出たとの情報もない。また、実際に標的となるリスクがある人には、アップデートだけでは十分ではない。Appleの「ロックダウンモード」は、多くのファイルプレビューや添付ファイルの種類を無効にする機能で、まさにこうした攻撃に備えるためのものだ。

iOS 27には影響がないため、選択肢はわかりやすい。iOS 27はiOS 26と同じくiPhone 11以降で動作するので、今回のパッチの対象となる端末は、すべて最新OSへのメジャーアップグレードも可能だ。初期の不具合やバッテリーに関する不満を避けるため、大型アップデートを数週間見送る人は少なくない。今回の修正があれば、今のOSにとどまりながら脆弱性への露出を避けられる。TechCrunchによると、ベルギーの企業ironPeakが発見した、画面をタップしなくても攻撃が成立する別のiMessageの脆弱性は、今月初めにiOS 27で修正済みだ。

修正はiPhoneだけにとどまらない。Appleは9月28日、iOS 26.7.1とiPadOS 26.7.1に加え、Mac向けのmacOS Tahoe 26.7.1とmacOS Sequoia 15.8.1を公開した。iPadでは、第3世代以降のiPad Pro 12.9インチ、第1世代以降のiPad Pro 11インチ、第3世代以降のiPad Air、第8世代以降の標準iPad、第5世代以降のiPad miniが修正対象となる。アップデートは世界各地で利用でき、「設定」から「一般」、「ソフトウェアアップデート」の順に進めばインストールできる。Macでは「システム設定」から確認できる。

この脆弱性にはCVE-2026-86950という識別番号が付けられている。Appleは今後さらに詳しい情報を公表するかどうかを明らかにしておらず、調査中の攻撃について詳細を公表することはほとんどない。同社が示している防御策は、「ソフトウェアアップデート」の画面にすでに用意されているものだけだ。

タグ: Apple, サイバーセキュリティ, meta, iphone, CoreGraphics, iOS 26.7.1

関連コンテンツ

iOS 27：Appleが年間10億ドルを支払いGoogleにSiriを委ねる——EUと中国は対象外

MicrosoftがWindowsの570件のセキュリティ脆弱性をで1か月で修正。大半をAIが発見した

iOS 26.5、iPhoneとAndroid間のメッセージがついに暗号化される

AIが動作するゼロデイ攻撃コードを書き上げる──グーグルが先回りで阻止

GrapheneOSが初めてPixel以外に対応、第1号はモトローラSignature 27

AppleのカメラAirPodsは本物だった — macOS 26.7が発表前に明かした