アップルがiOS 26.7.1を公開した。iOS 27にまだ移行していないiPhone向けの緊急アップデートで、すでに実際の攻撃に使われたセキュリティ上の脆弱性1件を修正する。
アップルは、iOS 26.7.1で何を修正したのかを詳しく明かしていない。他の攻撃者にまで詳細をつかまれる前に、できるだけ多くのユーザーにアップデートを済ませてもらうためだ。
iOS 26.7.1で修正されたのは、画面描画処理を担うアップルのグラフィックフレームワーク「CoreGraphics」の欠陥で、CVE-2026-86950として登録されている。悪意をもって細工されたファイルを処理すると、任意のコード実行につながるおそれがある。
アップルはサポートページで、「iOS 27より前のバージョンのiOSにおいて、特定の個人を標的としたきわめて高度な攻撃に、この問題が悪用された可能性があるという報告を把握している」と述べている。
iOS 26.7の公開からまもなく、iOS 26.7.1がこの一件だけを修正する単独のアップデートとして提供されたことからも、問題の深刻さがうかがえる。この脆弱性がどのような攻撃に悪用されたのかを、アップルは明らかにしていない。だが、同社の説明には、スパイウェアによる攻撃に典型的な特徴がそろっている。
アップルはこれに先立つ8月にも、特定の人々がスパイウェアの標的になっているとして警告を出していた。
スパイウェアを使う攻撃では、攻撃者は一つの脆弱性を使うこともあれば、複数の欠陥を組み合わせて使うこともある。攻撃は多くの場合、iMessageやWhatsAppで送りつけられる画像を通じて届く。スパイウェアはしばしば、利用者の操作をいっさい必要としない、いわゆる「ゼロクリック」攻撃に使われる。標的にされた人が画像を受け取った時点で、マルウェアが端末に入り込み、画面表示や操作履歴を含む端末上のあらゆるアクティビティを記録できるようになる。Signalのように通信を暗号化するメッセージアプリでのやり取りも、例外ではない。
今すぐiOS 26.7.1へアップデートすべき理由
iOS 26.7.1は、iOS 27へのアップグレードをまだ見送りたいと考えている大勢の人にとって、速やかに適用すべき緊急アップデートだ。スパイウェアは、反体制派やジャーナリスト、政府関係者といった特定の層だけを狙って、ごく限定的に使われる。とはいえ、脆弱性の詳細がいったん出回れば、その脆弱性がもっと広い範囲の攻撃に使われるおそれがある。
実際にスパイウェアの標的にされたと思うなら、iPhoneの電源をいったん切ってから入れ直すと、マルウェアの動きを一時的に妨げられる。だが、これで根本的に解決するわけではない。通常は、そのiPhone自体を使うのをやめるよう勧められる。
iOS 26.7.1の対象は、iPhone 11以降、iPad Pro 12.9インチ（第3世代）以降、iPad Pro 11インチ（第1世代）以降、iPad Air（第3世代）以降、iPad（第8世代）以降、iPad mini（第5世代）以降となる。
ためらう理由はない。「設定」＞「一般」＞「ソフトウェアアップデート」と進み、速やかにiOS 26.7.1へアップデートしてほしい。
