AppleのCoreGraphics脆弱性に関するPoCが公開、WhatsApp経由の攻撃経路も浮上

要点

• Appleの描画フレームワーク「CoreGraphics」に存在した脆弱性（CVE-2026-86950）の概念実証（PoC）コードが、セキュリティ研究者によって公開された。

• 細工されたフォントを含むPDFを処理させることでメモリ破壊とクラッシュを引き起こすもので、特定の標的を狙った実攻撃に悪用された可能性がある。

• Appleは9月28日に修正パッチを公開しており、米CISAも連邦政府機関に対して期日内の修正適用を義務付けている。

• 脆弱性の発見元であるMetaの「WhatsApp」においてPDFの自動解析を遮断する防御改修が確認され、攻撃の配信経路として使われた可能性が指摘されている。

• セキュリティ企業のCalifに所属する研究チームは2026年9月30日、Apple製品のグラフィックス描画フレームワーク「CoreGraphics」に存在した脆弱性「CVE-2026-86950」の解析結果と概念実証（PoC）コードを公開しました。Appleはこの脆弱性について、iOS 27より前のバージョンを標的とした極めて高度な攻撃で悪用された可能性があると説明しており、9月28日にセキュリティアップデートを公開しています。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）も翌9月29日に本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加し、米国の連邦政府機関に対して10月2日までに修正を適用するよう指示を出しました。

脆弱性の技術的背景とバッファ破壊の仕組み

CoreGraphicsは、macOSやiOSなどで2D描画、画像レンダリング、PDF処理を担うAppleの中核的なフレームワークです。Califの研究チーム（Dion Blazakis氏、Josh Maine氏、Anna Groza氏）は、iOS 26.7と修正版であるiOS 26.7.1のバイナリを比較分析することで脆弱性の調査を行いました。同バージョンで変更が加えられたライブラリはCoreGraphicsのみであり、8つのラスタライザ（ベクター形式の描画データを画面表示用のピクセルに変換する処理機能）関数に対して20回以上にわたり同様の修正が適用されていたことが判明しています。

修正前のコードでは、グリフ（文字の輪郭形状データ）の座標を浮動小数点数から32ビット固定小数点数へ変換する際、許容範囲外の値に対する処理に不整合が存在していました。対象となる8つの関数のうち、2つの関数で一方の上限値処理（飽和処理）と他方の切り捨て処理が異なって動作していたといいます。

この処理の食い違いによって、文字の描画領域を示すバウンディングボックス（境界枠）の計算結果が実際よりも小さく算出されていました。その結果、CoreGraphicsは描画に必要な領域よりも小さな作業用バッファ（一時的なメモリ領域）を確保してしまい、バッファの範囲外にデータを書き込んでしまう「境界外書き込み」が発生する状態になっていました。

公開された概念実証コードと影響範囲

研究者らは、この不具合を誘発するために意図的に巨大な座標値を持つTrueTypeフォントを作成しました。さらに、テキストマトリックスや入れ子構造になった複合グリフの拡大縮小設定を組み込んだPDFを作成することで、座標値の制限を超過させてオーバーフローを発生させる手法を確立しました。これらの検証スクリプトおよびサンプルPDFは、GitHub上の公開リポジトリにて提供されています。

検証用のテストプログラムでは、メッセージングアプリなどが添付ファイルのプレビューを表示する際に呼び出す「ImageIO」のサムネイル生成処理が使用されています。研究チームによれば、この処理を介してmacOSとiOSの双方でクラッシュが発生することが確認されたとのことです。なお、macOS環境についてはデバッガのコールスタック（関数呼び出しの履歴情報）が公開されていますが、iOS環境についてはCalifによる報告のみでトレースログは公表されていません。

このクラッシュは、攻撃者が制御可能なメモリ領域において隣接する2つの16ビット値に対する境界外書き込みを引き起こし、スタック領域やヒープ領域への書き込みを可能にするものです。ただしCalifは、今回のPoCがメモリ破壊によるクラッシュを示すものであり、任意のコードを実行する実用的なエクスプロイト（攻撃コード）の開発とは別の作業であると説明しています。また、実際の攻撃で使用された検体を入手していないため、攻撃者がどのような手順で攻撃チェーンを完結させたかについては特定できていないとしています。

なお、Appleが9月28日に公開したセキュリティアドバイザリでは、iOS 27およびmacOS Golden Gate 27は本脆弱性の影響を受ける対象として記載されていません。また、即座にアップデートを適用できない環境に向けた回避策は提示されていません。

WhatsAppにおける変更と攻撃経路の可能性

今回の脆弱性報告においてAppleがMetaの製品セキュリティチーム（Meta Product Security）に謝意を表明していたことから、CalifはMetaが提供するメッセージングアプリ「WhatsApp」の解析も実施しました。

WhatsAppのバージョン26.37.73と26.38.74を比較したところ、添付ファイルスキャナー機能である「Kaleidoscope」に新たな処理が追加されていることが確認されました。新しいバージョンでは、PDFファイル内の埋め込みフォントストリームを検査し、不審なフォントに対して「MalformedFontProgram」「UndecodableFontProgram」「UnverifiedFontProgram」という3種類の欠陥タグを付与する仕組みが導入されています。これらのタグが付与された場合、添付ファイルチェッカーは高リスクと判定し、該当ファイルの自動解析処理を停止する動作となっています。

Califはこの実装の変更について、WhatsAppが脆弱性を突く攻撃の配信経路として利用された可能性を示す状況証拠であると指摘しています。当初公開された解析記事では、自動メディアダウンロードが有効な環境において信頼できる連絡先から届いたチャットを開いた際に脆弱性が誘発される可能性について言及されていましたが、公開から85分後に同社CEOのThai Duong氏による更新で該当する推測記述が削除されました。

Califの解析レポートは、本脆弱性がユーザーの操作を介さずに解析処理へ到達するために「WhatsApp側の別の脆弱性と組み合わされて悪用された可能性」についての疑問を投げかけて締めくくられています。現時点でWhatsApp側は本脆弱性と自社製品を関連付けるアドバイザリを公開しておらず、2026年のアドバイザリ一覧には別件の脆弱性2件のみが掲載されている状態です。メディアのThe Hacker Newsは本件に関してMeta社へコメントを求めています。