OWN NEWS GATHER
← 戻る
cve

AppleのiOSやmacOSに任意コード実行の脆弱性「CVE-2026-86950」、特定標的への高度な攻撃で悪用も

要点

  • AppleのiOSやmacOSなどの複数製品において、細工されたファイルの処理により任意のコードが実行される脆弱性「CVE-2026-86950」の情報が公開された。

  • 本脆弱性はメモリの境界外書き込みに起因するもので、境界チェック処理の改善によって修正が行われている。

  • Appleは、iOS 27より前のバージョンにおいて、特定の標的を狙った極めて高度な攻撃で実際に悪用された可能性がある報告を把握している。

  • CISA-ADPによる深刻度評価（CVSS v3.1）の基本値は「8.8（HIGH）」と算出されており、CISAの悪用確認済み脆弱性カタログにも登録されている。

  • 米国立標準技術研究所（NIST）が運営する脆弱性データベース（NVD）において、Apple製品に影響を及ぼす脆弱性「CVE-2026-86950」の詳細情報が協定世界時（GMT）の2026年9月23日に公開された。この脆弱性は、悪意を持って作成されたファイルを処理することで端末上で任意のコードが実行される恐れがあるものだという。Appleは境界チェックの処理を強化することでこの問題に対処しており、修正版のソフトウェアをすでに提供している。

脆弱性の詳細とメモリ処理の問題

公開された情報によると、CVE-2026-86950はメモリ処理における「境界外書き込み（Out-of-Bounds Write）」の欠陥に分類されている。境界外書き込みとは、プログラムがメモリ領域を扱う際に確保されたバッファの範囲を超えてデータを書き込んでしまう不具合を指す。

この問題が存在する環境において、悪意を持って細工されたファイル（maliciously crafted file）をシステムが処理した場合、メモリ領域が意図せず破損し、結果として攻撃者による任意のコード実行（システムの制御を奪い不正な命令を実行させる状態）につながる危険性がある。Appleはメモリの境界チェック（bounds checking）を改善することによって、この境界外書き込みの不具合を解消したと説明している。

影響を受ける対象製品と提供された修正版

本脆弱性への対策は、Appleが配信している複数のOSアップデートに含まれている。修正が適用されたプラットフォームおよびバージョンは以下の通りである。

  • iOS 26.7.1
  • iPadOS 26.7.1
  • macOS Sequoia 15.8.1
  • macOS Tahoe 26.7.1

Appleはこれらの修正に関して、公式サポートページにおいて複数のベンダーアドバイザリ（サポート文書番号：149226、149228、149229）を公開し、リリースノートの中で本脆弱性の修正について言及している。

特定標的に対する高度な攻撃での悪用報告

今回の脆弱性において特に注目されるのは、すでに実際の攻撃において悪用された疑いがある点である。Appleの発表によると、同社は「iOS 27より前のバージョンのiOSにおいて、特定の標的とされた個人に対する極めて高度に洗練された攻撃の中で、この脆弱性が悪用された可能性がある」という報告を把握しているという。

不特定多数に向けた無差別な攻撃ではなく、特定の対象者を狙い撃ちにする高度なサイバー攻撃の文脈で本脆弱性が利用された可能性が示唆されている。

深刻度評価（CVSS）と公的機関によるステータス

脆弱性の深刻度については、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の公認番号付け機関（ADP）であるCISA-ADPが、CVSS v3.1に基づく評価を実施している。CVSS（共通脆弱性評価システム）は、情報システムの脆弱性の深刻度を客観的な指標に基づいて測定する共通規格である。

CISA-ADPによる評価では、基本値（Base Score）として「8.8」、深刻度レベルは「HIGH（高）」と判定された。評価に用いられたCVSS v3.1のベクトル文字列は「CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H」となっている。このベクトルは、ネットワーク経由での攻撃が可能であること（AV:N）、攻撃の複雑さが低いこと（AC:L）、特別な権限を必要としないこと（PR:N）、悪意あるファイルを開くなどのユーザー操作を要すること（UI:R）、スコープが変更されないこと（S:U）、機密性・完全性・可用性のいずれへの影響も極めて高いこと（C:H/I:H/A:H）を示している。

なお、NVD（米国立標準技術研究所の脆弱性データベース）自体の直接的なアセスメントによるスコアは現時点では提供されておらず「N/A」となっているが、CISAが運用する「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」には本脆弱性（CVE-2026-86950）の項目が追加されている。

関連アドバイザリおよび第三者情報の公開

本件に関しては、Appleによる公式サポート文書のほか、セキュリティ関連の公開メーリングリストである「Full Disclosure（seclists.org）」においても、第三者によるセキュリティアドバイザリ（Sep/89、Sep/90、Sep/91）が公開されており、詳細な情報共有が行われている。

元URL