iOS 27で登場したのは新機能だけではない。Appleのセキュリティ速報には、126件の固有のCVEを対象とする122件の修正が記載されており、その中にはiPhoneのカーネルに関連する項目が20件含まれている。
Appleは9月14日、iPadOS 27と同時にiOS 27をリリースした。修正対象はカーネル、Bluetooth、CoreMedia、認証、サンドボックス、WebKitなどに及び、脆弱性が悪用されるとデバイス上の機密リソースを露呈させる可能性がある。
これらの数字は、126件の脆弱性がリリース後に発見されたという意味ではない。OSがユーザーに届く前の開発期間中にAppleが特定し、修正した脆弱性の数を示している。
そのうち20件はカーネルに影響し、ほかにもBluetooth、CoreMedia、認証、サンドボックス、WebKitなど、攻撃者とデバイス上の機密リソースの間に位置し得る各種コンポーネントの脆弱性が修正された。
単なる通常アップデートを超える内容
iOS 27のセキュリティ対策は、軽微なバグ修正をはるかに超えている。Appleの速報が扱う脆弱性の影響は、予期せぬクラッシュや機密データの露出から、権限昇格、サンドボックスの回避や任意コードの実行などに及ぶ。
カーネルはiOSの中核に位置し、メモリやプロセスなどのシステムリソースへのアクセスを制御するため、カーネルの修正は特に注目に値する。CVE-2026-84622としてタグ付けされた脆弱性の1つでは、root権限を持つアプリが「初期化されていないカーネルメモリを読み取る」ことが可能になる。CVE-2026-43689としてタグ付けされた別の脆弱性では、悪意のあるアプリにroot権限を与えてしまう可能性がある。
Appleは単一の総合的な深刻度スコアをiOS 27のセキュリティ速報で付与していない。その代わり、各問題について想定される影響を個別に説明している。
同時にAppleは、iOS 27の脆弱性はいずれも、アップデートをリリースした時点で実際に悪用されていたことは知られていないとアップデートをリリースした時点では述べている。
Appleは同じ日にiOS 26.7もリリースした。iPhone 11以降という同じ対応機種の条件を満たし、iOS 27のセキュリティ修正のおよそ80件が含まれている。iOS 26.7は、Appleの新しいOSへのアップグレードをためらっているユーザーにとって特に重要だ。使い慣れたiOSバージョンのまま、セキュリティ修正の大半を適用できるからだ。
Appleのセキュリティ問題の一部はAIが発見
iOS 27の中核を成すのが、強化されたSiri AIだ。しかし、iOSおよびiPadOS 27と人工知能の関係はそれだけにとどまらない。
Appleはセキュリティアドバイザリで、セキュリティ研究者との協力に加え、これらの脆弱性の一部を探すためにAIツールを使ったことを認めた。Appleは、iOS 27の複数の脆弱性について、ClaudeおよびAnthropic Researchと協力したCalif.ioの研究者に謝意を示している。Appleの謝辞には、WebKitの脆弱性の発見にAIを活用した研究者として、OpenAI Codex Securityの名前も挙げられている。
これにより、AI最大手2社がセキュリティの物語に直接登場することになる。
この傾向はAppleに限られない。Microsoftはすでに高度なAIモデルを使って脆弱性を発見し、大量の脆弱性にパッチを適用している一方、GoogleもChromeで複数のセキュリティパッチへのAIの貢献を認めているほか、Androidでも同様だ。
Appleユーザーにとっての意味
iPhoneユーザーにとって、実際に取るべき行動は明快だ。対応デバイスを常に最新の状態に保つことである。
Appleによると、iOS 27の脆弱性はいずれも、アップデートのリリース時点で実際に悪用されていることは知られていなかった。それでも、脆弱性の詳細が公開されると、パッチが利用可能になった後に攻撃者へ有用な情報を与える可能性がある。
最新機能を使いたいユーザーはiOS 27に移行できる。まだアップグレードの準備ができていないユーザーは、対応するiPhone向けに同じセキュリティ修正の多くを含むiOS 26.7をインストールできる。
これは、セキュリティリスクが見出しになるカーネルの脆弱性に限られないため重要だ。WebKit、Bluetooth、メディア処理、認証の脆弱性はいずれもデバイスへの異なる侵入経路を生み得るため、実際の悪用が確認されていない場合でも、定期的なアップデートが重要になる。
Macユーザーにも、セキュリティ面での恩恵の一部がもたらされた。AppleはiOS 27と同時に、204件のセキュリティ修正を含むmacOS Golden Gate 27をリリースした。MacWorldによると。
つまり今回は、iPhoneだけを対象としたパッチサイクルではなく、Apple全体にわたる広範なセキュリティ更新だった。ユーザーにできる最善の対策はアップデートすることだ。対応するiPhone、iPad、Macで実行するには、次の手順に従う。
「設定」>「一般」>「ソフトウェアアップデート」>「アップデートを確認」>「今夜アップグレード」または「今すぐアップグレード」を開く。
iPhoneでは、iOS 26.7とiOS 27の両方がiPhone 11以降で利用できる。iPadユーザーは、Appleの対応機種一覧でiPadOS 27とiPadOS 26.7を確認し、デバイスがどのアップデートに対応しているかを調べられる。
Macユーザーも同様に、Appleの対応要件でmacOS 27とmacOS 26.7を確認できる。
その他のニュース：OpenAIはAIのミスアラインメントに関する6件の事例を開示し、モデルがミスを隠したほか、データを捏造し、露出した認証情報を使い、無許可の通信手段を見つけたことで、AIエージェントに対する外部からの管理を強化すべきだとの新たな声が上がっている。