米Appleは10月26日(現地時間)、自社製品のセキュリティアップデートを一斉実施した。 「iOS27.2」「iPadOS27.2」も含め、以下の11件のアップデートが公開されている(括弧内はCVE番号が割り振られた脆弱性の件数)。 ・iOS27.2and iPadOS27.2(163件) ・iOS26.7.2and iPadOS26.7.2(134件) ・iOS18.7.11and iPadOS18.7.11(3件) ・macOS Golden Gate27.2(263件) ・macOS Tahoe26.7.2(213件) ・macOS Sequoia15.8.2(197件) ・tvOS27.2(72件) ・watchOS27.2(62件) ・visionOS27.2(125件) ・Safari27.2(33件) ・tvOS26.6.1(公開されたCVEエントリーなし) 「Safari27.2」は「macOS Sequoia」「macOS Tahoe」向けで、Webブラウザー単体のアップデートとなっている。 「iOS18.7.11」および「iPadOS18.7.11」で修正された脆弱性のなかでも注意が必要なのは、「CoreGraphics」における境界外書き込みの脆弱性(CVE-2026-86950)だ。 細工されたファイルを処理すると、任意のコードを実行されるおそれがある。 「iOS27」より前のバージョンで、特定の個人を狙った極めて高度な攻撃で悪用された可能性があるという。 本脆弱性は、比較的新しいデバイスでは9月28日公開の「iOS26.7.1」「iPadOS26.7.1」ですでに修正されている。 今回の「iOS18.7.11」「iPadOS18.7.11」では、iPhone XS/XS Max/XR、第7世代iPadにも修正が提供された。 なお、今回公開されたセキュリティ情報では、これ以外に悪用の報告への言及はない。 また、インドの認証局「eMudhra」で発生した中間CA証明書の侵害に関しても、問題のある証明書をApple側で自動ブロックしているとのこと。 一般ユーザーはとくになにもする必要はない。 ただし、macOSや「Xcode Command Line Tools」に含まれる一部のコマンドラインツール(「curl」、「git」、「python3」、「openssl」など)は「/etc/ssl/cert.pem」を参照するため、将来のアップデートが適用されるまでは影響を受ける証明書を受け入れる可能性がある。 一時的な対策としては、問題のルート証明書を「cert.pem」から削除する方法が案内されている。
