Apple、AIの脅威を受けてセキュリティアップデートの発行方法を変更

Posted on 3 7月 2:32 am

このページのリンクから手数料を得る場合があります。

現在、テクノロジー業界の注目が iOS 27 に集まっている一方で、Apple は依然として iOS 26 へのアップデートを大量にリリースしています。「26」時代に新たな機能満載のリリースが提供される可能性は低いですが、Apple やサードパーティの研究者が発見するたびに、必ず潰すべきバグやセキュリティ上の欠陥が存在するでしょう。好例: 月曜日、Apple は 29 件のセキュリティ脆弱性の修正を含む iOS 26.5.2 をリリースしました。

しかし、これらのパッチで修正されるバグよりも興味深いのは、同社が当初それらのパッチをリリースするつもりはなかったということだ。実際、iOS 26.5.2 は、主に新しい AI モデルによる潜在的な脅威により、Apple がセキュリティアップデートを展開する方法に大きな変化をもたらします。

Appleがセキュリティアップデートの処理方法を変更中

iOS 26.5.2 は、必ずしもそうなるよう意図されていたわけではありません。 Appleは今週初め、これらのパッチは実際にはiOSの将来のバージョン（おそらくiOS 26.6）を対象としたものであるとロイターに語った。しかし同社は現在、特にAnthropicのClaude Mythosなどのモデルのセキュリティ上の脅威を理由に、今後のセキュリティアップデートの処理方法を変更している。これらのモデルは、人間の研究者よりも早くソフトウェアのセキュリティ脆弱性を簡単に検出できるため、Apple はパッチが入手可能になり次第リリースする必要があると感じています。他の企業がセキュリティパッチを機能アップデートから分離しているのとは対照的に、同社は従来、セキュリティパッチを通常のソフトウェアアップデートにバンドルしています。しかし、これらの新しい AI モデルが普及し、悪意のある者がセキュリティの脆弱性を発見するリスクが高まる中、Apple は通常よりもはるかに早く新しいパッチをリリースする予定です。

そのため、これまでよりも多くのアップデートが Apple デバイスに表示されることが予想されます。 iOS 26.6よりも先にiOS 26.5.3が登場しても私は驚かないだろうし、Appleは今秋のiOS 27がリリースされる前に、通常よりも多くの「iOS 26」アップデートをリリースするかもしれない。 AI セキュリティモデルによる脅威は実際に重大であるため、アップデートが利用可能になったときは常にデバイスをアップデートする必要があります。

iOS 26.5.2のパッチは次のとおりです

まず良いニュースとして、これらの脆弱性はいずれも「ゼロデイ」ではないようです。ゼロデイとは、ソフトウェア開発者がパッチを発行する機会を得る前に、公的に開示されるか、積極的に悪用されるセキュリティ上の欠陥です。これらはハッカーに有利な点を与えるため、特に危険です。開発者がアップデートを発行し、ユーザーベースがそれをインストールするまでの間、ハッカーはエクスプロイトを見つけようとしたり、さらに悪いことにそのエクスプロイトを悪用したりする可能性があります。幸いなことに、これらの欠陥はどれも該当しないようです。つまり、これはミッションクリティカルな状況ではないことを意味します。それでも、パッチが適用されていないセキュリティ上の欠陥は懸念事項であり、これらが公開された今、誰かがそれらを悪用する方法を発見するのは時間の問題です、特に新しい AI モデルによって支援されている場合。そのため、できるだけ早く iOS 26.5.2 をインストールすることが重要です。

これまでのところどう思いますか？

Apple の公式セキュリティリリースノートによると、iOS 26.5.2 (および iPadOS 26.5.2) には 29 件のセキュリティ上の欠陥が修正されています。欠陥の多くは、Safari を動かす Apple のエンジンである WebKit がユーザーデータを保護する方法に関係しています。ユーザーが悪意のある Web コンテンツを処理した場合 (不正なリンクをクリックした場合など)、機密データが漏洩する可能性があるいくつかの欠陥と、必ずしも悪意のあるサイトではない場合でも、Web サイトにアクセスするだけで機密データが漏洩する可能性がある脆弱性が 1 つあります。別のパッチは、悪意のある Web サイトが「サンドボックス」（iOS の安全な部分に侵入しないように Apple が Web サイトを保持する安全な要素）の外でデータを処理できるようにする欠陥に対処し、別のパッチは、ユーザーが知らないうちにクリップボードデータを盗む可能性がある欠陥にパッチを適用します。

以下にリストされている 29 個のパッチすべてと、説明、修正、およびそれらを追跡するために使用される CVE (共通脆弱性および露出) 番号が記載されています。繰り返しになりますが、これらの欠陥には、既知のアクティブなエクスプロイトはありません。

IOGPUファミリー: アプリによって予期しないシステム終了が発生する可能性があります。状態処理を改善することで競合状態に対処しました。 CVE-2026-43743: リュトゥーン、ダン
カーネル: アプリが予期しないシステム終了を引き起こしたり、カーネルメモリに書き込みを行ったりする可能性があります。この問題は、入力サニタイズを改善することで解決されました。 CVE-2026-43724:
カーネル: アプリは機密のカーネル状態を漏洩する可能性があります。この問題は、入力サニタイズを改善することで解決されました。 CVE-2026-43722。
カーネル: アプリによって、システムが予期せず終了したり、カーネルメモリが破損したりする可能性があります。この問題は、入力検証を改善することで解決されました。 CVE-2026-39868。
libxslt: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。二重解放の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43706。
libxslt: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。この問題は、メモリ処理を改善することで解決されました。 CVE-2026-43703。
ウェブ拡張機能: 悪意のある Web 拡張機能により、予期しないプロセスのクラッシュが発生する可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43704。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、ユーザーの機密情報が漏洩する可能性があります。クロスオリジンの問題は、セキュリティオリジンの追跡を改善することで解決されました。 CVE-2026-43700。
ウェブキット: 悪意のある Web サイトにより、クロスオリジンでデータが流出する可能性があります。この問題はチェックを改善することで解決されました。 CVE-2026-43735。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43734/CVE-2026-43726/CVE-2026-43709/CVE-2026-43699/CVE-2026-43742。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、ユーザーの機密情報が漏洩する可能性があります。パス処理の問題は、検証を改善することで解決されました。 CVE-2026-43732。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、メモリ破損が発生する可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43731/CVE-2026-43715。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43727。
ウェブキット: 悪意のある Web サイトは、制限された Web コンテンツをサンドボックスの外で処理できる可能性があります。この問題は、入力検証を改善することで解決されました。 CVE-2026-43725。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。この問題は、メモリ処理を改善することで解決されました。 CVE-2026-43663/CVE-2026-39872/CVE-2026-43712。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。この問題は、メモリ処理を改善することで解決されました。 CVE-2026-43716。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。境界外アクセスの問題は、境界チェックを改善することで解決されました。 CVE-2026-43676。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、プロセスメモリが漏洩する可能性があります。この問題は、メモリ処理を改善することで解決されました。 CVE-2026-43740。
ウェブキット: Web サイトにアクセスすると、機密データが漏洩する可能性があります。権限の問題は追加の制限によって解決されました。 CVE-2026-43713。
ウェブキット: 悪意のある Web サイトにより、クロスオリジンでデータが流出する可能性があります。この問題は、入力検証を改善することで解決されました。 CVE-2026-43708。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。メモリ破損の問題は、メモリ処理を改善することで解決されました。 CVE-2026-43707。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、メモリ破損が発生する可能性があります。型の混乱の問題は、チェックを改善することで解決されました。 CVE-2026-43705。
ウェブキット: 悪意のある Web サイトは、制限された Web コンテンツをサンドボックスの外で処理できる可能性があります。この問題はチェックを改善することで解決されました。 CVE-2026-43701。
ウェブキット: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。境界外書き込みの問題は、入力検証を改善することで解決されました。 CVE-2026-43745。
WebKitキャンバス: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43720。
WebKitストレージ: 悪意のある Web サイトは、クリップボードデータをサイレントにハイジャックできる可能性があります。この問題は、状態管理を改善することで解決されました。 CVE-2026-43721。
WebRTC: 悪意を持って作成された Web コンテンツを処理すると、予期しないプロセスのクラッシュが発生する可能性があります。境界外アクセスの問題は、境界チェックを改善することで解決されました。 CVE-2026-28979。
WebRTC: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。入力検証を改善することで、スタックオーバーフローが解決されました。 CVE-2026-43718。
WebRTC: 悪意を持って作成された Web コンテンツを処理すると、Safari が予期せずクラッシュする可能性があります。解放後の使用の問題は、メモリ管理を改善することで解決されました。 CVE-2026-43717/CVE-2026-43746。