Ing. Calogero Bono
Appleは、iOS 27.2.1 と、iPadOS・macOS・watchOS・visionOS の同時リリース版を公開しました。新機能はなく、セキュリティ修正が中心です。当初の公開情報は簡素でしたが、その後Appleが詳細なドキュメントを公表しました。そこには、iMessage・AirPlay・Bluetoothの脆弱性と、macOSにおけるeMudhra証明書問題の解決が含まれています。詳細が公開された今、アップデートの緊急性は高まっています。
事実に入る前に、いくつかの用語を確認しておきましょう。 CVEは、既知の脆弱性を識別するための番号です。認証局は、サイトが正規のものであることを証明する証明書を発行する機関です。秘密鍵は、その証明書に署名するための秘密情報で、流出すると証明書の偽造に使われるおそれがあります。コマンドラインとは、curlやgitのようなツールを指し、ターミナルから使われ、システムアプリの仕組みを経由しません。レート制限は、ペアリングコードなどに対する試行回数の上限です。
Appleはどのバージョンをリリースしましたか？
HDblogによると、iOS 27.2.1はiOS 27.2の2週間後に登場し、バグとセキュリティ問題を修正しています。iPadOS、macOS Golden Gate、watchOS、visionOS 27.2.1も同時に公開されました。
古いシステムにも修正が提供されており、iOSとiPadOSではバージョン26.7.3と18.7.12が用意されています。Macではmacos Tahoe 26.7.3とmacOS Sequoia 15.8.3、watchOS 26はバージョン26.6.1に更新されます。
以前、11月9日のアップデートパッケージについてもお伝えしました。また、iOS 27.3のベータ版も進行中で、最初のベータ版の際に取り上げています。
iMessageの脆弱性で何ができましたか？
iMessageには2つの脆弱性がありました。CVE-2026-113961では、リモートの攻撃者が招待なしにグループチャットに入り、メッセージを受信できるおそれがありました。CVE-2026-113960では、グループに追加された人が、参加前にやり取りされたメッセージまで読めるおそれがありました。
これらは、同僚や取引先とのやり取りを含め、会話の機密性に関わる問題です。
AirPlayとBluetoothにはどんな問題がありましたか？
MacRumorsによると、脆弱性の大半はAirPlayとBluetoothに関するものでした。悪意のあるBluetooth機器が、ユーザーの操作なしにペアリングできるおそれがありました。また、近くにいる攻撃者がプロセスのメモリを破壊できる欠陥もありました。
複数のバグにより、AirPlayのペアリングコードに対する試行回数の制限を回避できました。HDblogは、App Intentsの欠陥も挙げています。これにより、アプリが権限なしで機密データにアクセスできるおそれがありました。Appleは4件の脆弱性を自社で発見したとしています。
eMudhraとmacOSにはどんな関係がありましたか？
9to5Macの整理によると、Mozillaが、インドの企業eMudhraが管理する8つの中間認証局の秘密鍵が侵害されたと報告しました。Appleは10月19日から証明書をブロックし、23日には追加の保護を、自動アップデートによって適用しました。
しかし、curlやgitのようなツールは、それらの証明書を受け入れたままでした。macOS 27.2.1、26.7.3、15.8.3は、この穴を塞ぎ、/etc/ssl/cert.pemから5つのルート証明書を削除しました。そのなかには、当初の手動の解決策に含まれていなかった3つのeMudhra証明書も含まれています。
独自の証明書一覧を持つアプリは、Appleのブロックに従いません。これについては、開発者に確認する必要があります。
知っておくべき限界
Appleは、これらの脆弱性が実際の攻撃に悪用されたかどうかを明らかにしておらず、どの情報源もその点に言及しています。どれだけの端末が実際に影響を受けていたのか、また公開されたエクスプロイトが存在するのかも分かっていません。個々の欠陥がどのように解決されたかについても、情報源には説明がありません。独自の証明書を持つアプリが、開発者によっていつ修正されるのかも、今後の注目点です。
デジタル業務に携わる方への影響
企業でiPhoneやMacを使っている方は、すぐにアップデートすることをおすすめします。iPhoneやiPadでは「設定」、「一般」、「ソフトウェアアップデート」の順に進みます。Macでは「システム設定」、「ソフトウェアアップデート」を開きます。多数の端末を管理している場合は、iOS 18.7.12のような古いバージョンを含め、インストール済みのバージョンを確認してください。
Macでビルドスクリプトなどにcurlやgitを使っている開発者は、macOSを更新するか、Appleが案内する手動の手順を適用する必要があります。アプリが独自のルート証明書を持ち込んでいる場合は、その開発元に確認が必要です。
編集部の見解
修正の内容は妥当ですが、公開の進め方には疑問が残ります。リリース時には情報がほとんどなく、詳細は後から公開されました。これでは中身を知らないままインストールを促されることになります。一方で攻撃者はパッチを数時間で比較分析します。eMudhra問題では、Appleが自動ブロックによって適切に対応しました。しかし、開発者がよく使うターミナルツールの対応には数週間を要しました。サーバーやインフラを管理する方にとって、これは参考になる教訓です。証明書は鎖のようにつながっており、一か所でも保護されていない輪があれば全体が危険にさらされます。
よくある質問
iOS 27.2.1に新機能は追加されていますか？
いいえ。HDblogによると、バグとセキュリティ問題の修正のみで、新機能はありません。新機能はiOS 27.3で提供される予定で、現在はベータ版が公開されています。
これらの脆弱性は攻撃に悪用されましたか？
現時点では不明です。Appleは実際の環境で悪用されたとは発表していません。詳細がすでに公開されているため、アップデートしていない端末は引き続き危険にさらされています。
古いシステムにも修正は提供されますか？
はい。iOSとiPadOSではバージョン26.7.3と18.7.12が提供されます。Macでは、macOS Tahoe 26.7.3とmacOS Sequoia 15.8.3が、watchOSでは26.6.1が提供されます。
eMudhra証明書の問題とは何ですか？
インドの企業eMudhraが管理する、8つの中間認証局の秘密鍵が侵害された問題です。この鍵を使うと、偽物なのに正規に見える証明書を作成でき、サイトの複製やデータの傍受に悪用されるおそれがありました。
自分の端末をアップデートするにはどうすればよいですか？
iPhoneやiPadでは「設定」、「一般」、「ソフトウェアアップデート」を開いてください。Macでは「システム設定」を開き、「ソフトウェアアップデート」を選択します。
iOS 27.2.1の後に注目すべき点、27.3のベータ版と独自証明書を持つアプリ
パッチは公開されましたが、問題が終わったわけではありません。今後のリリースと、Appleのブロックに従わないアプリの動作が重要になります。
- 使用しているツールが独自のルート証明書一覧を持っているか確認し、開発者に問い合わせてください。
- iOS 27.3のベータ版を追い、今後どのような修正が提供されるかを把握してください。
- iMessage・AirPlay・Bluetoothに関するCVEについて、公開エクスプロイトの報告に注意してください。
