Apple Fixes 163 iPhone, iPad Flaws in iOS 27.2 Update

AppleはiPhoneとiPad向けに大規模なセキュリティアップデートをリリースし、機密情報の流出や悪意あるコードの実行、重要なセキュリティ保護の弱体化につながる可能性のある脆弱性に対処した。

10月26日にリリースされた iOS 27.2とiPadOS 27.2は、WebKit、オペレーティングシステムのカーネル、Apple Intelligenceなど、複数のコンポーネントの弱点に対処する。セキュリティ企業の Tenableは163件のCVEを列挙している。Appleのセキュリティアドバイザリーに関連するこれらの脆弱性には、ブラウザーのセキュリティ、アプリの権限、保護されたシステムリソースに影響するものが含まれる。

こうした脆弱性がもたらし得る影響を考えると、Apple製デバイスを利用する個人や組織にとって、このアップデートは重要だ。

Apple、WebKitとカーネルの脆弱性を修正

特に懸念される脆弱性の一部は、Safariを支えるブラウザーエンジンのWebKitと、オペレーティングシステムの重要な機能を管理するiOSカーネルに影響する。

WebKitの弱点には、細工された悪意あるWebコンテンツによってメモリ破損や不正なコード実行を引き起こされる可能性のある脆弱性が含まれる。ブラウザーは日常的に外部Webサイトのコンテンツを処理するため、これらの脆弱性は懸念される。

カーネルの脆弱性は、別種のリスクをもたらす。脆弱性によっては、悪用に成功すると、悪意あるアプリが保護された情報にアクセスしたり、システムの動作を妨害したり、セキュリティ境界を突破したりする可能性がある。

今回のアップデートで対処されたカーネルの脆弱性には、次のものがある。

• CVE-2026-112624：アプリがプライバシー設定を回避できる可能性のある脆弱性。
• CVE-2026-112665：アプリがカーネルのメモリレイアウトを特定できる可能性のある情報漏えいの脆弱性。
• CVE-2026-112576：アプリがコピーオンライトメモリに予期しない変更を加えられる可能性のある脆弱性。

Appleは、検証、メモリ処理、セキュリティチェックを改善することで、これらの弱点に対処した。

脆弱性ごとに悪用に必要な条件は異なる。Appleのアドバイザリーは、これらを組み合わせて実行可能な攻撃チェーンを構築できるとは示していない。

Apple Intelligenceとプライバシーの脆弱性が機密データを流出させる可能性

今回のアップデートでは、個人情報の保護を弱める可能性のある脆弱性にも対処している。

CVE-2026-86987はApple Intelligenceに影響し、リモートの攻撃者がユーザーの機密データにアクセスできる可能性がある。この脆弱性の影響を受けるデバイスは、iOS 27.2アップデート全体よりも限定されており、iPhone 15 Pro以降のモデルに加え、一部の対応iPadモデルが含まれる。Appleのアドバイザリーには、影響を受ける具体的なデバイスが記載されている。

もう1つの脆弱性CVE-2026-112500は、Webサイトやサービスとのやり取りで個人のメールアドレスを隠せるAppleの「メールを非公開」機能に影響する。Appleによると、この脆弱性により、プライバシー機能を有効にしていても、ユーザーの元のメールアドレスが露出する可能性がある。

Appleは、追加のエンタイトルメントチェックによってApple Intelligenceの脆弱性に対処し、より厳格な制限によって「メールを非公開」の問題を修正した。

このほか、アプリの権限、証明書の検証、保護されたシステムリソースに影響する脆弱性もある。

例えばCVE-2026-112652では、悪意あるアプリが証明書の検証を回避できる可能性があり、信頼できる接続を確認するセキュリティ機構が弱体化する恐れがある。

その他の脆弱性はアプリ、ファイル、接続デバイスに影響

WebKitとカーネル以外にも、Appleのセキュリティ修正は複数の追加コンポーネントにまたがる脆弱性に対処している。

これらの問題は、今回のアップデートが対処する攻撃対象領域の広さを示している。

脆弱性の中には、攻撃者が悪意あるコンテンツを制御したり、アプリをインストールしたり、デバイスを接続したり、標的の物理的な近くにいることを必要とするものもある。したがって、脆弱性が存在するからといって、影響を受けるすべてのiPhoneがユーザーの操作なしにリモートから侵害されるわけではない。

攻撃者はiOS 27.2の脆弱性を悪用しているのか？

Appleは、iOS 27.2で修正された脆弱性が実際に悪用されていることを確認したとは公表していない。ただし、過去のiPhone攻撃は、セキュリティチームがアップデートのインストールを優先すべき理由を示している。

9月、Appleは CoreGraphicsのゼロデイ脆弱性を修正した。同社によると、この脆弱性は特定の個人を狙った高度な攻撃で悪用された可能性がある。

2026年初頭には、研究者が Coruna iOSエクスプロイトキットを発見した。このキットには5つのエクスプロイトチェーンにまたがる23件の脆弱性が含まれ、数千台のiPhoneを侵害する攻撃に使われていた。

いずれの事例も、iOS 27.2で修正された脆弱性との関連は確認されていない。しかし、攻撃者がソフトウェアの弱点を組み合わせて保護を回避し、モバイルデバイスを侵害できることを示している。

影響を受けるiPhoneとiPadは？

Appleは、次のデバイス向けにiOS 27.2とiPadOS 27.2をリリースした。

• iPhone：iPhone 11以降。
• iPad Pro 12.9インチ：第4世代以降。
• iPad Pro 11インチ：第2世代以降。
• iPad Air：第4世代以降。
• iPad：第9世代以降。
• iPad mini：第6世代以降。

このリストにあるすべてのデバイスが、すべての脆弱性の影響を受けるわけではない。Apple Intelligenceなど、一部のコンポーネントは新しいハードウェアでのみ利用できる。

Appleはさらに iOS 26.7.2とiPadOS 26.7.2を、以前のOS世代を使い続けているデバイス向けにリリースした。

これらのアップデートには個別のセキュリティアドバイザリーがあり、脆弱性の対象範囲がiOS 27.2およびiPadOS 27.2と同一だと考えてはならない。ユーザーはデバイスで利用可能な最新のセキュリティアップデートをインストールし、Appleのアドバイザリーを確認して、どの脆弱性が適用されるかを判断すべきだ。

iPhoneユーザーとセキュリティチームが今すべきこと

Apple製デバイスを管理する組織は、適切なセキュリティアップデートの展開を優先し、インストールが正常に完了したことを確認すべきだ。

推奨される対策は次のとおり。

• 最新のアップデートをインストールする。「設定」>「一般」>「ソフトウェアアップデート」に移動し、適切なリリースをインストールする。
• 管理対象デバイスを確認する。モバイルデバイス管理ツールを使い、古いOSバージョンを実行しているデバイスを特定する。
• 高リスクのユーザーを優先する。経営幹部、管理者、機密情報を扱う従業員のパッチ適用状況を確認する。
• アプリの権限を確認する。機密情報やデバイス機能への不要なアクセスを制限する。
• デバイスのコンプライアンスを徹底する。対応している場合は、デバイス管理と条件付きアクセスのポリシーを利用し、セキュリティ要件を満たさないデバイスからの企業リソースへのアクセスを制限する。
• 自動アップデートを有効にする。今後のセキュリティリリースからインストールまでの遅れを減らす。

組織は、企業メールやアプリ、機密データにアクセスする従業員所有のデバイスも考慮すべきだ。

大規模なデバイス群を管理するセキュリティチームにとって、一貫したパッチ展開は特に重要だ。アップデートが遅れると、複数のエンドポイントで既知の脆弱性が露出したままになり、組織の潜在的な攻撃対象領域が広がる可能性がある。

セキュリティチームが優先すべきことは明確だ。影響を受けるデバイスを特定し、適切なアップデートを展開して、インストールが完了したことを確認する。

関連記事：進化するiPhoneの脅威については、 DarkSwordスパイウェアが侵害されたデバイスからApple Keychainの認証情報と暗号資産ウォレットのデータを窃取する仕組みを解説した記事を参照されたい。