Apple、WebKit脆弱性21件をmacOS Tahoe 26.6.2／iOS 26.6.1で修正　旧版iOSでは42件に対応(CVE-2026-65329 他)

Appleは2026年8月17日、macOS Tahoe 26.6.2、iOS 26.6.1／iPadOS 26.6.1、iOS 18.7.10／iPadOS 18.7.10を公開し、Webブラウザエンジン「WebKit」を中心とする多数の脆弱性を修正しました。翌18日にはmacOS SonomaおよびSequoia向けのSafari 26.6.1も公開されています。

Appleの公式アドバイザリを確認すると、macOS Tahoe 26.6.2では28件のCVEが修正され、このうち21件がWebKit、WebKit History、WebKit Storageに関するものです。iOS／iPadOS 26.6.1ではこれらにTelephonyの脆弱性1件が加わります。現時点でAppleは、今回の脆弱性が実際の攻撃で悪用されたとは公表していません。

Appleのセキュリティアップデートのサマリー

• Appleは2026年8月17日にmacOS Tahoe 26.6.2、iOS／iPadOS 26.6.1、iOS／iPadOS 18.7.10を公開しました。
• macOS Tahoe 26.6.2では、公式アドバイザリ上で28件のCVEを確認でき、このうち21件がWebKit関連です。
• iOS／iPadOS 26.6.1では、同じWebKit関連21件に加え、Audio、ImageIO、IOGPUFamily、Kernel、Telephonyなどの脆弱性が修正されています。
• TelephonyのCVE-2026-65329では、特権的なネットワーク位置にいる攻撃者がIPSec認証を回避し、ネットワーク通信を傍受できる可能性があります。
• iOS／iPadOS 18.7.10のApple公式アドバイザリには、WebKit関連セクションだけで42件のCVEが列挙されています。これにはWebKit Canvas、WebKit History、WebKit Process Model、WebKit Storageを含みます。
• WebKitの問題では、Safariやプロセスのクラッシュ、メモリ破損、機密情報の漏えいなどが想定されています。18.7.10ではクロスオリジンでのデータ持ち出しや、サンドボックス外で制限されたWebコンテンツを処理できる問題も修正されています。
• Appleは2026年8月18日、macOS SonomaおよびSequoia向けにSafari 26.6.1を公開し、同系統のWebKit関連21件を修正しました。
• Appleの各アドバイザリには、今回修正された脆弱性が実際の攻撃で悪用されているとの記載は確認できませんでした。NVDに登録された新規CVEでも、CISA-ADPのSSVCは確認した範囲で「exploitation: none」としています。
• Apple公式資料ではCVSSスコアを掲載していません。公開直後のCVEではNVDによる評価が未完了のものもあるため、CVSSだけを待って更新判断を遅らせるべきではありません。
• PoCについてApple公式アドバイザリに公開を示す記載はなく、本稿確認時点で今回の新規CVEがCISA KEVに掲載済みであることも確認できませんでした。

macOS Tahoe 26.6.2では28件中21件がWebKit関連

macOS Tahoe 26.6.2の公式アドバイザリには、Audio、ImageIO、IOGPUFamily、Kernel、WebKitなどに関するCVEが掲載されています。CVE単位で数えると合計28件で、そのうち21件がWebKit、WebKit History、WebKit Storageに関連する問題です。

WebKitで修正された問題には、細工されたWebコンテンツを処理した際にSafariが異常終了するCVE-2026-64784、メモリ破損につながるCVE-2026-65341やCVE-2026-43794、use-after-freeに起因するプロセス終了のCVE-2026-64787などがあります。

また、WebKit HistoryのCVE-2026-64778では、悪意のあるWebサイトを訪問することで機密データが漏えいする可能性があります。WebKit StorageのCVE-2026-64779は、細工されたWebコンテンツの処理によってSafariがクラッシュする可能性があるメモリ破損の問題です。

WebKit以外では、ImageIOにおいて画像の処理から任意コード実行につながる可能性があるCVE-2026-65346や、Kernelにおけるuse-after-free、境界外読み取り、カーネルメモリ破損などの問題も修正されています。

iOS／iPadOS 26.6.1ではTelephonyの認証問題も修正

iOS 26.6.1／iPadOS 26.6.1では、iPhone 11以降をはじめとする対応端末が対象となっています。WebKit関連の修正内容はmacOS Tahoe 26.6.2とほぼ共通しており、WebKit関連21件を含む28件に加え、TelephonyのCVE-2026-65329が修正されています。

CVE-2026-65329についてAppleは、特権的なネットワーク位置にいる攻撃者がIPSec認証を回避し、ネットワークトラフィックを傍受できる可能性があると説明しています。認証処理の状態管理を改善することで修正されました。

NVDでは2026年8月18日時点で、この脆弱性についてNVD独自のCVSSスコアはまだ付与されていません。一方、CISA-ADPはCVSS v3.1で5.9（Medium）を付与し、SSVCにおける悪用状況は「none」としています。

iOS 18.7.10ではWebKit関連42件をバックポート

iOS 18.7.10／iPadOS 18.7.10は、iPhone XS、iPhone XS Max、iPhone XR、iPad第7世代向けに公開されています。Appleの公式アドバイザリにはAccessibility、AirDrop、APFS、Kernel、ImageIO、SceneKit、WebKitなど多数のコンポーネントに関する修正が掲載されています。

WebKit関連では、WebKit、WebKit Canvas、WebKit History、WebKit Process Model、WebKit Storageを合わせて42件のCVEを確認できます。

特に注意したいのは、単なるSafariのクラッシュだけではない点です。

CVE-2026-43735およびCVE-2026-43708では、悪意のあるWebサイトがクロスオリジンでデータを持ち出せる可能性があります。またCVE-2026-43725とCVE-2026-43701では、悪意のあるWebサイトがサンドボックス外で本来制限されているWebコンテンツを処理できる可能性があります。CVE-2026-43700では、Webコンテンツの処理によって機密情報が開示される可能性があります。

ただし、42件すべてが8月17日に新たに発見・公開された脆弱性という意味ではありません。Appleは18.7.10について、iOS 26.6やiOS 27のベータ版などで先行して提供していた修正を含むと説明しています。例えばCVE-2026-43735は、iOS 26系ではすでにiOS 26.5.2などで修正されていました。今回の18.7.10は、旧OS系統に対するバックポートという側面があります。

このため「新たに42件のWebKit脆弱性が発見された」とする表現は適切ではありません。「iOS 18.7.10で42件のWebKit関連CVEに対応した」と整理するのが正確です。

Safari 26.6.1もmacOS Sonoma／Sequoia向けに公開

Appleは8月18日、macOS SonomaおよびmacOS Sequoia向けにSafari 26.6.1を公開しました。

公式アドバイザリには、macOS Tahoe 26.6.2やiOS／iPadOS 26.6.1でも修正されたWebKit関連21件が掲載されています。CVE-2026-64784、CVE-2026-65341、CVE-2026-64782、CVE-2026-64780、CVE-2026-65334、CVE-2026-43794などが対象です。

そのため、macOS Tahoeを利用していない組織でも今回の更新は無関係ではありません。SonomaやSequoiaを継続利用しているMacについては、OSバージョンだけではなくSafari 26.6.1の適用状況まで確認する必要があります。

現時点で実悪用の公表は確認されず

Appleは、実際の攻撃への悪用を把握している脆弱性について、セキュリティアドバイザリ上でその旨を明示することがあります。

今回確認したmacOS Tahoe 26.6.2、iOS／iPadOS 26.6.1、iOS／iPadOS 18.7.10、Safari 26.6.1の各アドバイザリには、今回の脆弱性が実際の攻撃で悪用されているとの記載は確認できませんでした。

また、公開直後のCVE-2026-64784についてNVDを確認すると、NVD独自のCVSS評価はまだ付与されておらず、CISA-ADPのSSVCでは悪用状況が「none」とされています。

したがって、今回のアップデートを「ゼロデイ攻撃への緊急対応」や「悪用中のWebKit脆弱性を修正」と表現する根拠は現時点ではありません。

一方で、WebKitはWebコンテンツを日常的に処理するコンポーネントであり、今回の修正にはメモリ破損や情報漏えい、サンドボックス制限に関係する問題も含まれます。実悪用の公表がないことを理由に、企業端末への更新を長期間延期することは避けるべきです。

情報システム部門への示唆

情報システム部門では、今回の更新を単に「Safariの不具合修正」と扱わず、OSとブラウザを含めたApple端末全体のパッチ状況を確認する必要があります。

まずMDMや資産管理ツールを利用し、少なくとも以下の状態に達していない端末を抽出することが重要です。

• macOS Tahoe：26.6.2未満
• iOS／iPadOS 26系：26.6.1未満
• iPhone XS／XS Max／XR、iPad第7世代：iOS／iPadOS 18.7.10未満
• macOS Sonoma／Sequoia：Safari 26.6.1未満

特に注意したいのが、旧端末と旧OS系統です。iOS 18.7.10では42件のWebKit関連CVEがまとめて修正されており、新しいiOS 26系ですでに修正されていた問題が旧系統へバックポートされています。更新対象から外れた端末や、業務アプリとの互換性を理由にOS更新を止めている端末がないか確認する必要があります。

また今回、WebKit以外にもKernelやImageIO、Telephonyなど複数の攻撃面に修正が入っています。ブラウザ利用制限だけでリスクを十分に低減できる更新ではありません。業務端末についてはOSまたはSafariの修正版を適用し、適用率をMDM側で継続的に追跡する運用が現実的です。

セキュリティ対策Labでは、2026年7月に公開されたiOS 26.6およびmacOS Tahoe 26.6の大規模セキュリティアップデートについても整理しています。Apple製品を管理する組織では、今回の更新とあわせて直近のパッチ適用状況を確認してください。

関連記事：iOS 26.6に87件・macOS Tahoe 26.6に155件の脆弱性修正

出典

• About the security content of macOS Tahoe 26.6.2 – Apple
• About the security content of iOS 26.6.1 and iPadOS 26.6.1 – Apple
• About the security content of iOS 18.7.10 and iPadOS 18.7.10 – Apple
• About the security content of Safari 26.6.1 – Apple
• Apple security releases – Apple
• CVE-2026-64784 Detail – NIST NVD
• CVE-2026-65329 Detail – NIST NVD
• CVE-2026-43735 Detail – NIST NVD
• Dozens of WebKit Vulnerabilities Patched With Fresh macOS, iOS Security Updates – SecurityWeek
• iOS 26.6に87件・macOS Tahoe 26.6に155件の脆弱性修正 – セキュリティ対策Lab

関連記事

ミネソタ州の水道施設30か所超が同時にサイバー攻撃-OTシステムを標的にした協調攻撃 PostgreSQL、28件の脆弱性を修正、CVSS 8.8は14件(CVE-2026-15741 他) Cisco Unified Communications ManagerのSSRF 脆弱性 CVE-2026-20230 がサイバー攻撃で悪用 米玩具メーカー ハズブロ、不正アクセスで受発注に遅れ Zoom、「Zoom Rooms」の脆弱性を修正するアップデート(CVE-2025-67460) Go言語のフレームワーク「Beego」で深刻な脆弱性(CVE-2025-30223)、対象者はアップデートを シーイーシー、データセンターサービス障害はランサムウェア攻撃と確認　個人情報保護委員会へ報告 Amazon Redshift JDBC Driverの脆弱性 CVE-2026-8178、接続URLパラメータ経由で任意クラス実行の恐れ ISMSのコンサルは何をしてくれる？支援内容と注意点を解説

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)