Appleの脆弱性CVE-2026-86950、公開PoCが示すのは端末のクラッシュまで

AppleのCoreGraphicsに見つかった脆弱性「CVE-2026-86950」について、公開された概念実証コード（PoC）が示すのは、細工されたフォントを埋め込んだPDFを未更新のiPhoneやMacで処理すると、端末がクラッシュすることです。現時点で公開PoCは、攻撃者が端末上でコードを実行したり、端末を乗っ取ったりできることまでは示していません。 234

Appleは、悪意あるファイルの処理によって任意のコードが実行される可能性があると説明しています。また、この脆弱性が高度に標的を絞った攻撃で悪用された可能性があるとの報告を把握しているとしています。ただし、攻撃の詳細は確認されていません。 234

公開PoCで確認できること

PoCは、細工されたTrueTypeフォントを埋め込んだPDFを使い、CoreGraphicsでメモリ破損を引き起こします。報告されている結果は、未修正の端末でPDFを処理した際のクラッシュです。これは再現可能な不具合を示すものであり、端末の制御を奪う攻撃が完成していることを意味しません。 346

この脆弱性は、必要な範囲を超えてメモリに書き込む「範囲外書き込み」に分類されています。Appleの説明にある「任意のコード実行」は脆弱性がもたらし得る影響であり、公開PoCがコード実行を達成したという意味ではありません。 2

標的型攻撃について分かっていること

Appleは、iOS 27より前のバージョンを使う特定の個人に対し、この問題が「非常に高度な」攻撃で悪用された可能性があるとの報告を把握しているとしています。一方、Appleはその報告を確認済みの事実として詳細に説明しているわけではなく、被害者や攻撃手法も公表していません。公開PoCも、報告された攻撃を再現したり、その手口を明らかにしたりするものではありません。 24

WhatsAppとの関連は未確認

脆弱性の発見者としてMeta Product Securityの名前が挙がっていますが、それだけでWhatsAppが関与したとは言えません。WhatsAppのPDFチェックに関する情報から、ファイルの配信経路として可能性が取り沙汰されています。しかし、WhatsAppがこの脆弱性を利用したファイルを配信したことや、報告された標的型攻撃に関係したことは、現時点で確認されていません。 45

修正アップデートと連邦機関の期限

Appleは2026年9月28日に、脆弱性を修正するアップデートを公開しました。対象となる修正版は、iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1です。 2

米国の連邦機関向け対応期限については、情報が一致していません。ある報道は期限を2026年10月2日としていますが、別の報道では、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の通知に修正期限の記載はなかったとしています。ここで確認できる情報だけでは食い違いを解消できないため、10月2日はCVE固有のCISA通知で確認された確定期限ではなく、報道されている期限として扱うのが妥当です。 1011

利用者や管理者にとっては、期限の情報を待つより、利用中のApple製品に対応するセキュリティアップデートを適用することが実務上の対策です。