Appleは、iPhone、iPad、Mac向けのセキュリティ更新を公開しました。今回の更新には、細工された画像から任意のコードが実行される可能性や、悪意のあるWebコンテンツによるメモリ破損、通信認証の回避につながる脆弱性への修正が含まれます。
対象となる利用者は、端末が示す最新版へ早めに更新してください。企業では、端末台帳で対象を確認し、互換性テストと段階配信を進める必要があります。更新しただけでは過去の侵害は消えないため、不審な挙動がある端末は調査を分けて実施します。
公開された更新と対象製品
Appleのセキュリティリリース一覧では、iOSとiPadOSの最新版を26.6.1、macOSの最新版を26.6.2と案内しています。Safari 26.6.1はmacOS SonomaとmacOS Sequoia向けに公開されています。
| 更新 | 主な対象 | 代表的な修正 |
|---|---|---|
| iOS 26.6.1、iPadOS 26.6.1 | iPhone 11以降、対応するiPad | ImageIOの任意コード実行、WebKitのメモリ破損、Telephonyの認証回避など |
| macOS Tahoe 26.6.2 | macOS Tahoe | ImageIO、Kernel、WebKitなどの脆弱性 |
| Safari 26.6.1 | macOS Sonoma、macOS Sequoia | WebKitの境界外アクセス、メモリ破損、情報漏えいなど |
| iOS 18.7.10、iPadOS 18.7.10 | iPhone XS、XS Max、XR、iPad第7世代 | 旧世代の対応端末に対する複数のセキュリティ修正 |
iPhone 11以降と対応iPadの詳細は、iOS 26.6.1とiPadOS 26.6.1のセキュリティ情報に掲載されています。旧世代の一部機種については、iOS 18.7.10とiPadOS 18.7.10のセキュリティ情報を確認してください。
ImageIOでは任意コード実行につながる問題を修正
iOS 26.6.1、iPadOS 26.6.1、macOS Tahoe 26.6.2では、ImageIOの整数オーバーフローであるCVE-2026-65346が修正されました。Appleは、画像の処理によって任意のコードが実行される可能性があると説明しています。
ImageIOは画像データを扱う基盤です。利用者が画像編集をしていなくても、メッセージ、Webページ、文書などを通じて画像を処理する場面はあります。この修正は、怪しい画像だけを目視で避ければ足りるという種類の対策ではありません。OS側の更新を適用する必要があります。
同時に、画像処理によるサービス拒否につながるCVE-2026-65347も修正されています。サービス拒否と任意コード実行は影響が異なるため、一括して「端末を乗っ取る脆弱性」と表現するのは正確ではありません。
WebKitの修正はSafari以外の利用者にも関係する
iOS 26.6.1とmacOS Tahoe 26.6.2には、WebKitに関する複数の修正が含まれます。Appleの説明では、細工されたWebコンテンツの処理によるSafariの異常終了、プロセスの異常終了、メモリ破損などが挙げられています。
macOS SonomaとmacOS Sequoiaには、Safari 26.6.1のセキュリティ更新が提供されました。WebKit HistoryのCVE-2026-64778では、悪意のあるWebサイトへのアクセスによって機密データが漏れる可能性も示されています。
ブラウザのクラッシュは可用性の問題に見えますが、同じ更新にはメモリ破損や情報漏えいの修正も含まれます。個々のCVEを同じ深刻度として扱わず、端末の用途、外部サイトへのアクセス頻度、管理権限の有無を踏まえて更新順序を決めます。
通信とカーネルに関する修正
iPhone 11以降を対象とするTelephonyのCVE-2026-65329について、Appleは、特権的なネットワーク位置にいる攻撃者がIPSec認証を回避し、通信を傍受できる可能性を示しています。これは、誰でもインターネット越しに直ちに悪用できるという説明ではありません。攻撃にはネットワーク上の位置という条件があります。
Kernelでは、遠隔の攻撃者による予期しないシステム終了につながるCVE-2026-65343や、アプリからカーネルメモリの読み取り、破損につながる問題が修正されました。影響の前提がそれぞれ異なるため、更新情報を資産管理や脅威モデルへ反映するときは、CVE番号ごとに条件を確認します。
実悪用済みとは断定しない
今回確認したAppleの製品別情報には、これらの脆弱性が実際の攻撃で悪用されたという明示はありません。そのため、本記事では「ゼロデイ攻撃が発生した」「すでに侵害が広がっている」とは扱いません。
しかし、実悪用の公表がないことは安全の証明ではありません。Appleの情報は、修正後に影響とCVE番号を公開する形式です。任意コード実行、メモリ破損、情報漏えいという影響が示されている以上、攻撃事例の公表を待たずに更新する判断が妥当です。
個人利用者が確認すること
- 現在のバージョンを確認する：iPhoneとiPadは「設定」のソフトウェアアップデート、Macは「システム設定」のソフトウェアアップデートを開きます。
- バックアップと空き容量を確保する：更新の中断や端末故障に備え、必要なデータをバックアップします。
- 表示された最新版を適用する：機種やOS系列によって提供される版が異なります。別の端末と同じ番号にならなくても、対象外とは限りません。
- 更新後の版を再確認する：再起動後にバージョンを確認し、保留中の追加更新がないかも見ます。
古い端末では、iOS 26系ではなくiOS 18.7.10が提示される場合があります。端末に表示される更新とAppleの対象機種一覧を照合してください。サポート対象から外れた端末は、用途の制限や買い替えを含む移行計画が必要です。
企業は更新と侵害調査を分ける
企業の端末管理では、最初にiPhone、iPad、Macの機種、OS系列、利用者、業務アプリを台帳へそろえます。対象が分からないまま一斉更新を呼びかけても、未適用端末を追跡できません。
次に、少数端末で業務アプリ、VPN、証明書、周辺機器との互換性を確認し、問題がなければ段階的に配信します。外部サイトや添付画像を頻繁に扱う端末、管理権限を持つ端末、社外ネットワークへ接続する端末は優先度を上げます。
更新前からブラウザの異常終了、不審な構成変更、未知のプロセス、認証の異常が見つかっていた場合は、更新だけで対応を終えません。ログや端末状態を保全し、組織のインシデント対応手順に従って調査します。パッチは今後の悪用経路を狭めますが、すでに行われた変更を自動で元に戻すものではありません。
Web担当者とアプリ開発者に残る課題
Webサイトやアプリの運営側も、利用者任せにせず更新を支える必要があります。対応OSとブラウザの範囲を公開し、最新版での表示と主要機能を確認し、古い環境だけで発生する不具合には終了時期を示します。
更新のたびに業務が止まるなら、原因は更新そのものだけではありません。互換性テストの不足、端末台帳の欠落、業務アプリの依存関係が整理されていないことも影響します。平時に確認手順を決めておくと、緊急の修正を受け取ったときに配信判断を早められます。
よくある質問
更新すれば被害の心配はなくなりますか
更新は公開済みの脆弱性を塞ぐために必要ですが、すべての攻撃を防ぐ保証ではありません。更新前から不審な挙動があれば、認証情報の変更やログ確認を含む侵害調査を別に進めます。
Safariを使っていなければ更新は不要ですか
不要とは言えません。今回の更新はWebKitだけでなく、ImageIO、Kernel、Telephonyなど複数の機能を対象にしています。端末でSafariを日常利用していなくても、OS更新を適用してください。
会社の端末をすぐ更新できない場合はどうしますか
互換性確認に時間が必要なら、対象端末を把握したうえで配信期限を決めます。その間は、不要な外部サイトや添付ファイルへの接触を減らし、管理権限の利用を限定します。検証の遅れを理由に、期限なしで更新を保留する運用は避けます。
参考資料
- Appleのセキュリティリリース一覧
- iOS 26.6.1とiPadOS 26.6.1のセキュリティ情報
- macOS Tahoe 26.6.2のセキュリティ情報
- Safari 26.6.1のセキュリティ情報
- iOS 18.7.10とiPadOS 18.7.10のセキュリティ情報
- 株式会社greeden公式サイト
この記事に関連する株式会社greedenの取り組み
脆弱性対応を一度で終わらせないには、公開後の運用まで見込んだアプリ開発が必要です。株式会社greedenは、iOSとAndroidアプリの企画、実装、運用を支援し、継続的な保守と改善を後押しします。