Apple WebKit のポインタ認証（PAC）回避（KEV・APT29 の iOS 攻撃で悪用）

Medium（CVSS 5.5）に分類されるApple Safari 17.5 / iOS・iPadOS 17.5 / iOS・iPadOS 16.7.8 / macOS Sonoma 14.5 / tvOS 17.5 / watchOS 10.5 より前（WebKit）の脆弱性です。**Apple の WebKit（Safari や iOS のブラウザ表示の基盤）に、任意のメモリ読み書きができる状態の攻撃者がポインタ認証（Pointer Authentication、PAC）を回避できる欠陥がある。** PAC は Apple の端末が、乗っ取ったプログラムの流れを書き換えにくくするための防御で、本件はその防御を外す役割を持つ。単独で端末を乗っ取るものではなく、別の欠陥で読み書きの足場を得た後に使われる。 **修正は2024年5月13日に出ている。** Apple によれば、Safari 17.5、iOS / iPadOS 17.5、iOS / iPadOS 16.7.8、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5 で「チェックの改善」により修正された。報告者は Trend Micro の Zero Day Initiative 経由の Manfred Paul 氏。CVSS 3.1 は NVD・CNA とも **5.5 Medium**（AV:L・完全性への影響 High）。 **2年半後の悪用確認。** CISA は2026年11月4日に KEV へ収載し、是正期限を **2026年11月18日**とした。同日に Sekoia が公表した分析によれば、APT29 と中〜高確度で結び付けられる水飲み場型攻撃で、iOS 16.7 を狙って Cookie を盗む攻撃連鎖の第2段階に本件が PAC 回避として使われ、初期のコード実行には CVE-2025-43529 が使われていた。Sekoia はこの連鎖が iOS 16.0〜17.4 で動作し得るとしつつ、使われた脆弱性はいずれも修正済みで、OS を最新にしていれば防げるとしている。ランサムウェアでの利用は「不明」。 **評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**

**Apple 端末とブラウザを修正版以降へ上げる。** 回避策は示されていない。 - **iPhone / iPad**: iOS / iPadOS 17.5 以降。17 へ上げられない端末は iOS / iPadOS 16.7.8 以降 - **Mac**: macOS Sonoma 14.5 以降。Monterey / Ventura は Safari 17.5 以降 - **Apple TV / Apple Watch**: tvOS 17.5 / watchOS 10.5 以降 **影響を受けるかの確認。** 端末の「設定 → 一般 → 情報」で OS のバージョンを見る。今回確認された攻撃は iOS 16.7 系を狙っていたので、古い iPhone / iPad を業務で残している組織は特に棚卸しする。MDM（Intune、Jamf など）を使っているなら、最低 OS バージョンを上の版に設定して未更新端末を洗い出す。 **侵害の手掛かり。** Sekoia が公開した指標のうち、盗んだ情報の送信先は ad.starx-net[.]com の 8881 番ポートである。DNS やプロキシのログにこの宛先への通信が無いかを確認する（その他の指標は Sekoia の有償情報のみ）。 **Linux の WebKit も更新する。** Debian は webkit2gtk 2.44.2（DSA-5695-1）で本件を修正している。Linux の WebKitGTK / WPE WebKit を使うアプリケーションはディストリの更新を当てる。 **完了条件**は、管理下の Apple 端末がすべて上記の版以降であること（2026年11月時点ではそれぞれの系列の最新版を当てるのが確実）。

Apple Safari 17.5 / iOS・iPadOS 17.5 / iOS・iPadOS 16.7.8 / macOS Sonoma 14.5 / tvOS 17.5 / watchOS 10.5 より前（WebKit） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2024-27834）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/18 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。