iPhoneのアプリは、本来なら互いのファイルをのぞき見ることはできない。新たに公表されたiOSのエクスプロイトは、その保護が常に機能するとは限らないことを示唆している。
暗号資産取引所のBinanceは、一部のiOSバージョンに影響する脆弱性について警告した。この脆弱性により、悪意あるアプリケーションが別のアプリに属するファイルへアクセスし、端末に保存された機密情報が露出する可能性がある。
Binanceは 11月10日の警告で、暗号資産ユーザーがさらされるリスクを強調した。ユーザーのウォレットや取引所アプリには、価値のある情報が含まれている可能性がある。今回の脆弱性は、iOSがアプリ間のデータをどのように保護しているかについて、より広範な懸念も提起する。ただし、悪意ある悪用が確認された証拠はない。
Binanceの発表の核心にある脆弱性
Binanceによると、この脆弱性は「worse_query」と呼ばれ、iOS 26.7.1、27.0.1、新しいiOS 27.2に影響し、悪意あるアプリケーションが他のアプリに属するファイルへアクセスできる可能性がある。これが問題となる理由を理解するには、まずAppleが通常どのようにアプリケーションを分離しているのかを見てみる必要がある。
iOSのアプリケーションは、サンドボックスと呼ばれる環境内で動作する。これは、アプリケーションがファイルやデータを保存する専用の保管領域のようなもので、他のアプリケーションが自由にアクセスできないよう制限されている。
つまり、悪意あるアプリがiPhoneに入り込んだとしても、別のアプリケーションのストレージを開いて中身を読み始めることは、本来できないはずだ。
しかし、セキュリティ研究者のforcequitOSは、worse_queryという概念実証（PoC）を11月8日にGitHubで公開し、iPhoneを脱獄したりカーネルを悪用したりせずに、こうした制限を回避できることを実証した。
これは単にGitHub上に置かれた概念実証にとどまらない。開発者のChristoph Kolbiczは、WQ Filesというアプリでこの手法を試した。
この実演は、理論上の脆弱性にとどまらず、アプリケーションにこの手法を実装できることを示している。ただし、動作する概念実証が存在するからといって、攻撃者が実際のユーザーに対してこの欠陥を悪用したことが証明されたわけではない。
暗号資産ユーザーはより高いリスクにさらされる
Binanceの警告は、すでに苦境にあるユーザーがこの脆弱性によって受ける可能性のある具体的なリスクに焦点を当てている。
Binanceのような暗号資産取引所は、アプリ内に機密性の高いユーザー情報をローカル保存しており、iOSが割り当てた保護されたストレージ領域にデータを保管している。悪意あるアプリケーションがこうした保護を回避して保存データを読み取れれば、攻撃者が被害者のアカウントや、場合によっては資金にアクセスするために利用できる情報を入手する可能性がある。
取引所は、露出する可能性がある情報の例として、シードフレーズ、秘密鍵、ログイン認証情報を具体的に挙げている。
ただし、実際に露出する情報は、アプリケーションがローカルに何を保存しているか、そしてその情報がどのように保護されているかによって異なる。アプリのファイルにアクセスできたからといって、攻撃者が必ずしもiOSのキーチェーンやその他の暗号化機構で保護された認証情報を取り出せるとは限らない。
BleepingComputerの報道によれば、現時点で攻撃者が暗号資産保有者を狙ってこの脆弱性を悪用した証拠はない。
潜在的な影響は、暗号資産アプリケーションにとどまらない。銀行やその他の金融アプリも機密情報をローカルに保存している可能性があるが、リスクはそれぞれの保存方法やセキュリティ対策によって異なる。今回公表された手法だけでは、攻撃者が銀行の認証情報にアクセスしたり、認証保護を回避したりできることまでは示されていない。
AppleはiOSの脆弱性を修正したのか？
BinanceがXに投稿する1日前、Appleは9件の脆弱性に対するセキュリティアップデートをリリースした。BleepingComputerによると、そのうち1件はCVE-2026-113963として追跡されており、アプリケーションが機密性の高いユーザーデータにアクセスできる可能性がある。
これは、Binanceが警告したサンドボックス脱出と似ているように見える。特に、いずれもアプリケーションが本来ならアクセスできないはずのデータにアクセスできるようになる点が共通している。
しかしAppleは、その修正がworse_queryや、Binanceが報告した根本的な問題にも対応しているかどうかを明確に確認していない。
両者の説明が似ている点には注目する価値があるが、同じ脆弱性だと断定するには不十分だ。現時点でユーザーには、Appleの最新のセキュリティアップデートが、エクスプロイトによって実証された抜け穴を塞いだのかどうかについて、明確な確認がない。
iOSユーザーに残された対策は？
Binanceが公に警告し、Appleの対応も曖昧なままであることを踏まえると、Binanceや暗号資産アプリを使っていないユーザーも、安全だと決めつけるべきではない。
最新のセキュリティアップデートをインストールすることは依然として重要だが、ユーザーは端末にインストールされているアプリケーションも確認すべきだ。特に、見慣れない提供元から入手したアプリには注意が必要である。
暗号資産ウォレットのリカバリーフレーズや秘密鍵が露出した可能性がある場合は、信頼できる端末を使って新しく作成したウォレットへ資産を移すべきだ。すでに侵害されたリカバリーフレーズに紐づく資金は、iOSをアップデートするだけでは保護できない。
- 信頼できないアプリを削除する：不要なアプリケーションを削除する。特に、見慣れないサードパーティーの提供元からインストールしたものには注意したい。
- iOSをアップデート：Appleはworse_queryへの修正を明確に確認していないものの、端末で利用可能な最新のセキュリティアップデートをインストールする。
- アプリをアップデートする：銀行、暗号資産、その他の機密情報を扱うアプリを最新の状態に保つ。
- アカウントのアクティビティを監視する：見慣れない取引やログインセッションなど、不正アクセスの兆候がないか確認する。
- 侵害された資金を移す：ウォレットの秘密情報が露出した可能性がある場合は、信頼できる端末で新しいウォレットを作成し、資金を移す。iOSをアップデートするだけでは、露出したリカバリーフレーズを無効化できない。
このworse_queryは、デバイスのセキュリティがアップデートのインストールだけで決まるものではなく、インストールするアプリとデバイスに保存する機密情報も同じくらい重要だということを改めて思い起こさせる。攻撃が確認されていなくても、こうした予防策を講じる価値はある。
影響範囲と修正状況が確認されるまでは、ユーザーは見慣れないアプリに注意し、端末を最新の状態に保つべきだ。
その他のニュースでは、 AppleはiOS 27.2.1とiPadOS 27.2.1をリリースし、iMessageのグループチャット、Bluetoothのペアリング、AirPlayに影響するセキュリティ脆弱性に対処するとともに、ユーザーが安全を保てるよう旧型端末向けのアップデートも展開した。