Apple、194件もの脆弱性を修正する「iOS 26.6」など一斉公開——AIが脆弱性発見を加速、過去最大のセキュリティアップデートに

また、macOS Tahoeに対応しない旧型Mac向けには、macOS Sequoia 15.7.8とmacOS Sonoma 14.8.8も同時にリリースされており、いずれも同じセキュリティ修正に焦点を当てています。

修正された重大な脆弱性

Appleのセキュリティアドバイザリには、特に深刻ないくつかの脆弱性が含まれています。

• MediaRemote: ディレクトリパス処理の解析問題により、アプリがルート権限を取得できる可能性がありました。
• AVEVideoEncoder (CVE-2026-64747): バッファオーバーフローにより、アプリがカーネル権限で任意のコードを実行できた可能性があります。
• Game Center / libc: サンドボックスエスケープの脆弱性。悪意のあるアプリがサンドボックスから脱出できた可能性があります。
• CloudAttestation (CVE-2026-43813): 悪意を持って細工されたアプリがコード署名の強制をバイパスできた可能性があります。
• ImageIO: 悪意を持って細工された画像を処理する際に、任意のコード実行が可能でした。
• SceneKit: 悪意を持って細工されたファイルを処理する際に、任意のコード実行に繋がる可能性がある3件の脆弱性。
• Kernel: カーネルメモリの破損、情報漏洩、予期しないシステム終了など、十数件の修正。
• WebKit: プロセスメモリの露出、インターフェースのなりすまし、iframeサンドボックス違反、Safariのクラッシュなど、複数の修正。

AIツールが人間の研究者と並んでクレジットされる顕著な傾向

今回のアップデートで最も注目すべきトレンドは、Appleのセキュリティノートにおいて、AIツールが人間の研究者と並んで初めて大規模にクレジットされたことです。

• AnthropicのClaudeとAnthropicの研究者は、WebKit、WebKit Storage、WebDAVの修正でクレジットされており、一部はCalif.ioの研究チームと共同で行われました。
• OpenAI Codex Securityは脆弱性の発見に貢献したとしてクレジットされており、これは以前のiOS 26.5.2セキュリティアップデートで見られたパターンを踏襲しています。
• NVIDIAのAI Red Teamもセキュリティノートで脆弱性発見者としてクレジットされています。
• Z.AIのGLMモデルも、人間の研究者と並んで謝辞に名前が挙がっています。

Appleは以前、AIを活用したハッキングツールへの直接的な対応として、セキュリティアップデートの頻度を加速することを明らかにしていました。今回のリリースの修正数は同社史上最多ですが、その背景にはAIツールが研究者の脆弱性発見を加速させたことが一因とされています。

悪用状況について

Appleは、これらの脆弱性のいずれについても、実際に悪用されたという報告はないとしています。これは、AIを活用した攻撃者が脆弱性情報や概念実証コードを迅速に悪用することに対応するため、同社が26.6向けに予定していた修正の一部を前倒しでリリースした、という従来の姿勢と一貫しています。

iOS 27に向けたSpotlight最適化

セキュリティ修正に加えて、macOS Tahoe 26.6、iOS 26.6、iPadOS 26.6には、今秋リリース予定のバージョン27に向けた重要な内部変更が含まれています。それはSpotlightインデックスの最適化です。AppleはWWDCで検索インデックスをより安定し、包括的で応答性の高いものに再設計しており、今回のアップデートではiOS 27、macOS 27、iPadOS 27へのアップグレードをよりスムーズに行うために、インデックスを事前最適化しています。

アップデート方法

すべてのApple 26.6アップデートは現在利用可能です。iPhoneおよびiPadユーザーは「設定」>「一般」>「ソフトウェア・アップデート」から、Macユーザーは「システム設定」>「ソフトウェア・アップデート」からアップデートできます。watchOSおよびtvOSのアップデートは、それぞれのコンパニオンアプリから行えます。

今回の記録的な修正数と、現時点で活発な悪用が確認されていないことを踏まえ、セキュリティ専門家は、攻撃者がパッチをリバースエンジニアリングする前に、早急にアップデートを適用することを推奨しています。