AppleのCoreGraphicsに脆弱性　対象のiPhone・iPad・Macはアップデートを

AppleのCoreGraphicsに、細工されたファイルの処理をきっかけにコード実行につながる可能性のある脆弱性「CVE-2026-86950」が見つかりました。Appleは、特定の個人を狙った非常に高度な攻撃で悪用された可能性があるとの報告を把握していると説明しています。これは、影響を受けるすべての端末が攻撃されたという意味ではありません。 1239

どのOS・端末が対象？

対象として挙げられているのは、iOS／iPadOS 26.7.1より前のバージョン、macOS Sequoia 15.8.1より前、macOS Tahoe 26.7.1より前です。Appleは2026年9月28日に、それぞれiOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1を公開し、脆弱性を修正しました。 123

AppleのiOS・iPadOS向けセキュリティ情報では、対象となる機種として次のシリーズが記載されています。 1

• iPhone 11以降
• iPad Pro 12.9インチ（第3世代以降）
• iPad Pro 11インチ（第1世代以降）
• iPad Air（第3世代以降）
• iPad（第8世代以降）
• iPad mini（第5世代以降）

macOSのセキュリティ情報は、Macの機種別ではなくOSのバージョンを対象として示しています。Macでは「このMacについて」などで使用中のmacOSを確認し、その端末に表示されるアップデートを適用してください。 23

Appleが攻撃の報告について触れているのは、iOS 27より前のバージョンです。これは報告された攻撃の対象OSについての説明であり、古いOSを使う端末すべてが狙われたことを示すものではありません。 19

ファイルを処理すると何が起きる？

Appleが示しているきっかけは、悪意をもって細工されたファイルを端末が処理することです。脆弱性が悪用されると、攻撃者が任意のコードを実行できる可能性があります。 1239

公開されているセキュリティ情報には、どのファイル形式が該当するのか、またファイルがどのように端末へ届き、処理されるのかは記載されていません。特定の画像や文書、送信方法に原因を絞ることは、確認できる情報の範囲を超えます。

Appleや各国の機関はどう説明している？

米国の国家脆弱性データベース（NVD）は、Appleによる影響の説明や対象バージョン、特定個人を狙った高度な攻撃で悪用された可能性があるとの記載を掲載しています。 9

一方、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）がこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加したという報道もあります。ただし、ここで確認できるCISAの資料には、この脆弱性の個別掲載を裏づける項目が含まれていません。そのため、CISAによる追加は報道された情報として扱い、ここでは独立して確認できた事実とは区別します。 19

インドの報道各社は、インドのコンピューター緊急対応チーム（CERT-In）が深刻度の高い警告を出し、速やかなアップデートを呼びかけたと伝えています。ただし、確認できる資料にはCERT-Inの原文の勧告が含まれていないため、詳細な表現や推奨事項までは照合できません。 1213

修正アップデートを適用する方法

端末ごとに、提供されている最新のソフトウェアアップデートをインストールしてください。

• iPhone／iPad：「設定」→「一般」→「ソフトウェアアップデート」
• Mac：「システム設定」→「一般」→「ソフトウェアアップデート」

Appleのセキュリティリリース一覧でも、ソフトウェアの更新情報やセキュリティ通知を確認できます。 1234

アップデートするまでは、送信元に心当たりのないファイルや信頼できない相手から届いたファイルの処理を避けるのが慎重な対応です。ただし、これは一時的な注意策であり、アップデートの代わりにはなりません。また、特定のファイル形式が原因だと確認されたわけでもありません。 19

iOS 27.0.1の不具合修正は別件

iOS 27.0.1が修正する不具合は、CVE-2026-86950とは別の問題です。Appleによると、iPhone 18 Pro／iPhone 18 Pro MaxでFace IDの認証に失敗した際に端末が予期せず再起動する問題、一部端末で特定条件下の2倍撮影写真に色むらが出る問題、通知センターとコントロールセンターを同時に開くとタッチ画面が反応しなくなる問題が対象です。