Appleが、iOS 27以前で標的型攻撃に悪用された脆弱性 CVE-2026-86950を修正

Appleは2026年9月28日、CoreGraphicsに存在する脆弱性「CVE-2026-86950」を修正するセキュリティアップデートを公開しました。細工されたファイルを処理すると任意コード実行につながる可能性があり、Appleは「iOS 27より前のバージョンで、特定の個人を標的とした極めて高度な攻撃に悪用された可能性がある」としています。

修正版はiOS 26.7.1／iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1です。攻撃者、配布経路、対象人数、攻撃時期、IOCは公表されていません。

CVE-2026-86950のサマリー

確認できている内容：

• Appleは2026年9月28日、CoreGraphicsの脆弱性CVE-2026-86950を公表しました。
• 脆弱性は境界外書き込み（Out-of-bounds Write）で、細工されたファイルの処理により任意コード実行につながる可能性があります。
• Appleは境界チェックの改善によって問題を修正しました。
• 発見者としてMeta Product Securityが記載されています。
• Appleは、iOS 27より前のバージョンで特定個人を狙った高度な攻撃に悪用された可能性があるとの報告を把握しています。
• 修正版はiOS 26.7.1／iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1です。
• CVE RecordではCVSS v3.1の基本値は8.8、CWEはCWE-787（Out-of-bounds Write）とされています。
• 2026年9月29日の確認時点では、CISA Known Exploited Vulnerabilities（KEV）カタログへの掲載は確認できませんでした。

現時点で未確定の内容：

• Appleは実際に侵害が成功した件数を公表していません。
• 攻撃者や攻撃キャンペーンへの帰属は公表されていません。
• 悪意あるファイルがどの経路で標的へ送られたかは公表されていません。
• IOCや公開PoCはAppleのアドバイザリでは示されていません。

CoreGraphicsの境界外書き込みで任意コード実行の恐れ

CVE-2026-86950は、AppleのCoreGraphicsに存在する境界外書き込みの脆弱性です。CoreGraphicsは画像や2次元グラフィックスなどの描画処理で利用されるフレームワークです。

Appleのアドバイザリでは、細工されたファイルを処理した場合に任意コード実行につながる可能性があると説明しています。修正では境界チェックが改善されました。

CVE RecordではCWE-787に分類され、CVSS v3.1は8.8です。ベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H とされており、攻撃成立にはユーザー操作が関係する評価になっています。

一方、Appleは攻撃に使われたファイル形式、配布経路、 exploit chain の構成を明らかにしていません。メール添付、メッセージ、Web経由など特定の経路を今回の事案として断定することはできません。

iOS 27以前の特定個人を狙う攻撃で悪用された可能性

AppleはCVE-2026-86950について、「iOS 27より前のバージョンで、特定の個人を標的とした極めて高度な攻撃に悪用された可能性がある」と説明しています。

ここで注意したいのは、Appleの表現が「悪用された可能性」である点です。現時点の一次情報だけでは、攻撃成功件数や被害内容まで確認できません。

また、Appleは攻撃者名、国家との関連、スパイウェア製品、被害者の属性を公表していません。これらを今回の脆弱性と結び付けるには追加の一次情報が必要です。

2026年2月には、Appleがdyldの脆弱性CVE-2026-20700についても、特定個人を狙った高度な攻撃で悪用された可能性を公表しています。過去記事は「Apple、iOS 26.3／iPadOS 26.3で複数の脆弱性を修正（CVE-2026-20700）」で確認できます。

修正版と対象製品

AppleがCVE-2026-86950の修正を明記しているバージョンは次のとおりです。

Appleは同じ2026年9月28日にiOS 27.0.1／iPadOS 27.0.1も公開していますが、この更新には公開CVEエントリがないとしています。CVE-2026-86950に関する悪用報告は「iOS 27より前」と明記されています。

情報システム部門が確認したいポイント

企業でApple端末を管理している場合は、まずMDMや資産管理台帳からOSバージョンを抽出し、iOS／iPadOS 26系で26.7.1未満の端末、macOS Tahoe 26.7.1未満、macOS Sequoia 15.8.1未満が残っていないか確認します。

次に、アップデート配信済みかどうかではなく、端末側でインストールが完了した割合を確認します。長期間オフラインの端末、アップデート延期の例外設定がある端末、役員・管理者・外部対応部門など標的型攻撃の対象になりやすい利用者の端末は個別に状態を確認した方が整理しやすくなります。

Appleは今回の攻撃で使用されたIOCや配布経路を公表していません。このため、特定のファイル名や通信先を前提にした調査は現時点ではできません。インシデント調査が必要な環境では、端末のOS更新状況に加え、EDRやMDMの検知履歴、メール・メッセージ経由で受信した不審ファイル、アカウントの不審な認証履歴など、組織側で保持しているログを確認対象にします。

CISA KEVについては、2026年9月29日の確認時点でCVE-2026-86950の掲載を確認できませんでした。ただし、Apple自身が悪用の可能性を公表しているため、KEV掲載の有無だけで更新判断を遅らせる材料にはなりません。

出典

• About the security content of iOS 26.7.1 and iPadOS 26.7.1 – Apple
• About the security content of macOS Tahoe 26.7.1 – Apple
• About the security content of macOS Sequoia 15.8.1 – Apple
• Apple security releases – Apple
• CVE-2026-86950 – CVE.org
• Known Exploited Vulnerabilities Catalog – CISA

関連記事

Supermicro、一部マザーボードのBMCに脆弱性(CVE-2025-7937,CVE-2025-6198) 九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存 AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避 Google、Chrome 145のデスクトップ向け安定版で3件の重大な脆弱性を修正(CVE-2026-2313,CVE-2026-2314,CVE-2026-2315) GeoServer、認証不要のSQLインジェクション脆弱性を修正　GHSA-mqjf-5f49-2fjh、CVSS 9.8で悪用試行を観測 アサヒ グループホールディングス、サイバー攻撃で11万超の個人情報漏洩-再発防止策を発表 ChromeとEdgeのTikTok 動画 ダウンロード 拡張機能でサイバー攻撃 キャンペーン Zoom、「Zoom Rooms」の脆弱性を修正するアップデート(CVE-2025-67460) TP-Link Tapo C120/C200に認証回避 脆弱性CVE-2026-15315　パスワードなしで管理者セッション取得の可能性

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)