Appleは現地時間10月26日、iPhone XS、XS Max、XR向けにiOS18.7.11を配信しました。実際の攻撃で悪用された可能性がある脆弱性を修正するアップデートです。この脆弱性は、iPhone11以降では9月28日に修正されており、iPhone XS、XS Max、XRへの修正の提供は約1カ月遅れました。
iOS27.2で直った脆弱性は163件
Appleは同じ10月26日に、新機能を追加したiOS27.2とiOS26.7.2も配信しています。Appleが公開した各アップデートのセキュリティ情報に掲載されている脆弱性の識別番号（CVE）を、重複を除いて数えました。
各アップデートのセキュリティ情報に掲載されている脆弱性の件数は、次の通りです。
| 更新 | 対象のiPhone | 掲載された脆弱性 |
|---|---|---|
| iOS27.2 | iPhone11以降 | 163件 |
| iOS26.7.2 | iPhone11以降 | 134件 |
| iOS18.7.11 | iPhone XS、XS Max、XR | 3件 |
WebKitとカーネルの脆弱性が多数
iOS27.2で修正された163件の脆弱性を項目別に見ると、Webページの表示に使われる「WebKit」が26件で最多でした。WebKitに関連するほかの項目も含めると、30件になります。WebKitは、アプリの中でWebページを開く画面にも使われる仕組みです。
次いで、iOSの基本的な動作を制御する「カーネル」が15件、画像の読み込みや処理を担う「ImageIO」が11件でした。Webページの閲覧や画像の表示は、iPhoneで日常的に行う操作です。今回のアップデートでは、細工されたWebページや画像を開いたときに問題が起きる脆弱性も、多数修正されています。
「メールを非公開」などの脆弱性も修正
このほか、Appleの「メールを非公開」機能を使った際に、利用者の本来のメールアドレスが漏れるおそれのある脆弱性も修正されました。Apple Intelligenceでは、遠隔の攻撃者が利用者の機密情報にアクセスできるおそれのある脆弱性が修正されています。
Siriでも、アプリが利用者の機密情報にアクセスできるおそれのある脆弱性が2件修正されました。なお、iOS27.2とiOS26.7.2のセキュリティ情報には、実際の攻撃で悪用された可能性があるとAppleが説明する脆弱性は掲載されていません。
悪用された可能性がある脆弱性の修正はXSとXRで1カ月遅れ
iOS18.7.11で修正された3件のうち1件は、画像や文書の描画を担うCoreGraphicsの脆弱性です。細工されたファイルをiPhoneで処理すると、利用者が意図しない命令を実行させられるおそれがあります。
Appleは悪用の可能性を把握
Appleは、この脆弱性がiOS27より前のiOSで、特定の個人を狙った極めて高度な攻撃に悪用された可能性があるとの報告を把握していると説明しました。Appleは実際に悪用されたとは断定しておらず、あくまでその可能性があると説明しています。
iOS27とiOS27.2のセキュリティ情報も確認しましたが、この脆弱性は掲載されていませんでした。Appleの公開情報では、iOS27で修正されたことも確認できません。
iPhone11以降は9月28日に修正済み
この脆弱性は、9月28日に配信されたiPhone11以降向けのiOS26.7.1で修正済みです。そして今回、iOS26に対応していないiPhone XS、XS Max、XRにも、iOS18.7.11を通じて同じ脆弱性の修正が提供されました。
この脆弱性を修正するアップデートの配信日を比較すると、次の通りです。
| 配信日（現地時間） | 更新 | 対象のiPhone |
|---|---|---|
| 9月28日 | iOS26.7.1 | iPhone11以降 |
| 10月26日 | iOS18.7.11 | iPhone XS、XS Max、XR |
2つのアップデートの配信日は28日離れており、iPhone XS、XS Max、XRへの修正の提供は、iPhone11以降より約1カ月遅れました。修正の時期が分かれた理由を、Appleは明らかにしていません。
iOS26.7.2とiOS27.2で脆弱性の修正件数が異なる
iPhone11以降の対応機種では、iOS27にアップデートせず、iOS26を使い続けることもできます。その場合に適用するのが、iOS26.7.2です。iOS27.2とiOS26.7.2のセキュリティ情報に掲載されているCVEを比較すると、両方に共通する脆弱性は119件ありました。
片方だけに載る脆弱性は44件と15件
iOS27.2のセキュリティ情報にのみ掲載されている脆弱性は44件です。この中には、前述の「メールを非公開」機能やApple Intelligence、Siriに関する脆弱性も含まれています。iOS26.7.2でもApple IntelligenceとSiriに関する脆弱性が修正されました。
ただし、修正対象となった脆弱性は、iOS27.2のものとは異なります。反対に、iOS26.7.2のセキュリティ情報にのみ掲載されている脆弱性は15件です。この15件のうち13件は、9月14日に配信されたiOS27のセキュリティ情報にも掲載されています。
つまり、iOS27では1カ月以上前に修正されていた脆弱性が、今回のiOS26.7.2で修正されました。
件数だけでは安全性を判断できない
iOSのバージョンによって搭載されている機能や内部の仕組みが異なるため、同じ脆弱性でも影響を受けるバージョンと受けないバージョンがあります。
そのため、iOS27.2のセキュリティ情報にのみ掲載されている脆弱性が、必ずしもiOS26にも存在するとは限りません。修正された脆弱性の件数だけで、iOS27.2の方が安全とはいえない点に注意しましょう。
機種ごとに入れるべきアップデート
iPhoneの機種と現在使用しているiOSのバージョンに応じて、適用するアップデートをまとめました。
| iPhoneの機種・今のiOS | 適用するアップデート |
|---|---|
| iPhone XS、XS Max、XR | iOS18.7.11 |
| iPhone11以降（iOS27を使用中。iPhone Duoを含む） | iOS27.2 |
| iPhone11以降（iOS26を使用中） | iOS26を継続する場合はiOS26.7.2、iOS27へ移行する場合はiOS27.2 |
iPhone DuoもiOS27.2の対象
Appleによると、10月23日にiPhone Duo向けに配信されたiOS27.1には、公表されたCVEの項目はありません。iPhone Duoも、今回配信されたiOS27.2にアップデートできます。
ただし、すべての脆弱性が全機種に影響するわけではありません。例えば、Apple Intelligenceに関する脆弱性は、iPhone15 Pro以降の対応機種が対象です。
iOS26を使い続ける場合
iOS26を使い続ける場合も、iOS26.7.2を適用すれば、iOS27.2と共通する119件を含む134件の脆弱性への修正が提供されます。一方、iOS27.2のセキュリティ情報にのみ掲載されている脆弱性も44件です。ただし、これら44件すべてがiOS26にも影響するわけではありません。
iOS27へ移行するかどうかは、新機能だけでなく、普段使っているアプリや周辺機器の対応状況も確認した上で判断するとよいでしょう。iOS26からiOS27にアップデートすると、通常の方法ではiOS26に戻せません。
XSとXRのサポート期間は不明
2018年発売のiPhone XS、XS Max、XRは、iOS26の対象外です。Appleは、iOS18向けのセキュリティアップデートをいつまで提供するか明らかにしていません。
今後のセキュリティアップデートでも、iPhone11以降の機種より修正の提供が遅れる可能性はあります。ただし、今後も同様の遅れが生じるかどうかは分かっていません。
Photo: Apple