Apple、CoreGraphicsの脆弱性を修正するセキュリティ更新を配信　標的型攻撃に悪用された可能性

要点

• Appleは、iOS、iPadOS、macOSの旧バージョン向けにセキュリティアップデートを公開した。

• 画像描画を担うCoreGraphicsに境界外書き込みの脆弱性（CVE-2026-86950）が存在し、悪意あるファイルの処理によって任意のコードが実行される恐れがある。

• iOS 27未満の環境において、特定の個人を対象とした極めて高度な攻撃の中で悪用された可能性があると報告されている。

• 発見者はMeta社のセキュリティ部門であり、Appleは境界チェックの改善によって不具合を修正した。

• 2026年2月にもdyldの脆弱性（CVE-2026-20700）に対処しており、高度なサイバー攻撃への対応が続いている。

• Appleは2026年9月、旧バージョンのiOS、iPadOS、macOSを対象としたセキュリティアップデートをリリースした。画像描画フレームワーク「CoreGraphics」に存在する脆弱性が、特定の個人を標的としたサイバー攻撃において実際に悪用された可能性があるためだという。同社は境界チェック処理の改善によってこの問題に対処したと説明している。

CoreGraphicsに潜む境界外書き込みの脆弱性「CVE-2026-86950」

今回修正された脆弱性は「CVE-2026-86950」として追跡されているもので、Apple製品で2Dグラフィック描画や画像処理全般を司る基幹コンポーネント「CoreGraphics」に存在していた。

本脆弱性の原因は「境界外書き込み（プログラムがメモリ上に確保された領域の外側に誤ってデータを書き込んでしまう不具合）」にある。攻撃者が細工を施した不正なファイルを端末側で処理させることでメモリの破壊が引き起こされ、最終的に第三者が意図した不正プログラムを実行できてしまう「任意のコード実行」につながる恐れがある。

Appleの発表によると、この問題はメモリへのアクセス範囲を正しく検証する「境界チェック（データの読み書きがメモリの安全な範囲内で行われているかを判定する処理）」を強化・改善することで対処されたという。なお、この脆弱性を発見しAppleへ報告したのは、Meta社の製品セキュリティチームである「Meta Product Security」であることが明らかにされている。

特定の個人を狙った極めて高度な攻撃で悪用された報告

Appleが公開したセキュリティアドバイザリでは、本脆弱性がすでに実際のサイバー攻撃において悪用されていた可能性について言及されている。同社は「iOS 27より前のバージョンのiOSにおいて、特定の個人を対象とした極めて高度な攻撃の中で本問題が悪用された可能性があるという報告を把握している」と説明している。

一方で、具体的にどのような人物が標的となったのか、攻撃を受けた対象者の総数、実際に攻撃が成功して端末が侵害された事例が存在するのかどうか、さらには最初に悪用が確認された時期といった詳細な事実関係については、現時点でAppleから公表されていない。

アップデートが提供されたOSバージョンと対象デバイス一覧

今回のセキュリティパッチは最新OSだけでなく、旧バージョンのオペレーティングシステムを使用している幅広いデバイスに向けて配信されている。修正が適用されたOSバージョンと対象デバイスは以下の通りである。

iOS 26.7.1 および iPadOS 26.7.1

• スマートフォン: iPhone 11 以降のモデル
• タブレット:
  • iPad Pro 12.9インチ（第3世代以降）
  • iPad Pro 11インチ（第1世代以降）
  • iPad Air（第3世代以降）
  • iPad（第8世代以降）
  • iPad mini（第5世代以降）

macOS

• macOS Tahoe 26.7.1: macOS Tahoeを実行しているMac端末
• macOS Sequoia 15.8.1: macOS Sequoiaを実行しているMac端末

2026年2月にも高度なサイバー攻撃への対処を実施

Apple製品における高度な攻撃への対処としては、2026年2月上旬にも同様のゼロデイ脆弱性に対する緊急修正が行われていた。当時同社は、アプリケーション起動時に必要なライブラリをリンク・ロードする動的リンカ「dyld」に存在したメモリ破壊の脆弱性（CVE-2026-20700、CVSS深刻度スコア: 7.8）を修正している。この際にも、高度なサイバー攻撃において実際に悪用兵器化されていたことが報告されていた。