iOS / macOS の CoreGraphics で境界外書き込み（悪用確認・KEV 期限 2026-10-02）

High（CVSS 8.8）に分類されるApple iOS / iPadOS（26.7.1 未満）/ macOS Sequoia（15.8.1 未満）/ macOS Tahoe（26.7.1 未満）の脆弱性です。Apple の画像描画フレームワーク CoreGraphics に境界外書き込み（CWE-787）があり、細工されたファイルを処理するだけで任意のコードを実行される可能性がある。Apple のセキュリティ文書の Impact は「Processing a maliciously crafted file may lead to arbitrary code execution」で、修正内容は境界チェックの改善である。 **すでに悪用が報告されている。** Apple は3本の文書すべてに「iOS 27 より前の iOS で、特定の個人を狙った極めて高度な攻撃に悪用された可能性があるという報告を把握している」旨を記している。CISA は 2026年9月29日にこの CVE を KEV へ収載し、是正期限を **2026年10月2日**（収載から3日）とした。NVD の SSVC 判定も `exploitation: active` / `technicalImpact: total` である。ランサムウェア利用は Unknown（不明）。 **修正版は 2026年9月28日に出ている。** iOS 26.7.1 / iPadOS 26.7.1（iPhone 11 以降、iPad Pro 12.9インチ第3世代以降、iPad Pro 11インチ第1世代以降、iPad Air 第3世代以降、iPad 第8世代以降、iPad mini 第5世代以降）、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1 の3文書で同じ CVE が修正されている。NVD の CPE もこの3系統（iOS / iPadOS 26.7.1 未満、macOS 15.8.1 未満、macOS 26.7.1 未満）で、vulnStatus は Analyzed。CVSS 3.1 は CISA-ADP が付与した 8.8 High（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）。発見者は Meta Product Security としてクレジットされている。

**OS を修正版へ更新する。** iPhone / iPad は iOS / iPadOS 26.7.1、Mac は macOS Sequoia 15.8.1 または macOS Tahoe 26.7.1 以降にする。Apple の文書に回避策の記載は無く、対処は更新である。 **UI:R（利用者の操作が要る）だが、軽く見ない。** 攻撃の入口は「細工されたファイルを処理させること」で、CoreGraphics は画像や PDF の描画に広く使われる。メッセージの添付、ブラウザで開いた文書、メールのプレビューのように、利用者が「開いた」と意識しない処理でも経路になりうる。Apple が悪用の報告として挙げているのは特定個人を狙った標的型攻撃なので、**経営層・記者・研究者・渉外担当など狙われやすい立場の端末から先に上げる**。 **棚卸しは MDM で版を取る。** iOS / iPadOS は 26.7.1 未満、macOS は Sequoia 15.8.1 未満・Tahoe 26.7.1 未満が対象である。MDM で最低 OS バージョンを強制できる場合は、KEV の期限（2026年10月2日）に合わせて強制更新の期限を設定する。**悪用の記述は「iOS 27 より前の iOS」についてのもの**で、本稿で確認した3本の文書（iOS / iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1）以外の系列の扱いは Apple の文書で要確認。 **完了条件**は、（1）管理下の iPhone / iPad / Mac がすべて上記の修正版以上であること、（2）MDM に報告してこない私物端末や未登録端末の扱いを決めたこと、の2点である。

Apple iOS / iPadOS（26.7.1 未満）/ macOS Sequoia（15.8.1 未満）/ macOS Tahoe（26.7.1 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-86950）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/02 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。