Apple、iOS 26.6に87件・macOS Tahoe 26.6に155件の脆弱性修正-リモートカーネルメモリ破壊とroot権限昇格に注意|セキュリティとITのニュースのセキュリティ対策Lab

投稿日時: 2026年07月31日更新日時: 2026年07月31日

Appleは2026年7月27日にiOS 26.6およびiPadOS 26.6を、同月29日にmacOS Tahoe 26.6をリリースし、それぞれ87件・155件の脆弱性を修正しました。同時期にmacOS Sequoia 15.7.8（138件）・macOS Sonoma 14.8.8（127件）・watchOS・tvOS・visionOS（各約100件）・Safariの更新も提供されており、Appleプラットフォーム全体にわたる大規模なセキュリティ更新です。今回のアドバイザリで最も注目されているのは、リモートユーザーがカーネルメモリを破壊できるカーネル脆弱性（CVE-2026-43810）で、脆弱性管理企業Jamfのシニアストラテジーマネージャーが「リモートという条件が攻撃チェーンの経済性を大きく変える」と指摘しています。野生での悪用は現時点でAppleのアドバイザリに記載されておらず、ゼロデイ悪用の確認はありません。

Apple iOS 26.6・macOS Tahoe 26.6セキュリティアップデートのサマリー

2026年7月27日：iOS 26.6 / iPadOS 26.6リリース（87件の脆弱性を修正）
2026年7月29日：macOS Tahoe 26.6リリース（155件の脆弱性を修正）
CVE-2026-43810（Kernel）：リモートユーザーがカーネルメモリを破壊できる脆弱性——Jamfが最注目CVEとして指摘
macOS Tahoeでは5つのコンポーネントでroot権限昇格経路を修正（Accounts・Core Services・SecurityAgent・Remote Management・CUPS）
Gatekeeper回避（CVE-2026-64708、DesktopServices）をSpecterOpsが発見
WebKit脆弱性（CVE-2026-64757）をClaudeおよびAnthropicリサーチが発見、クレジットに記載
野生での悪用はAppleのアドバイザリに記載なし（ゼロデイ確認なし）
対象デバイス：iPhone 11以降、iPad各種、すべてのMac（macOSバージョン別に異なる）

整理表

製品	リリース日	修正件数	主な脅威カテゴリ
iOS 26.6 / iPadOS 26.6	2026年7月27日	87件	カーネルメモリ破壊・任意コード実行・ユーザーデータへのアクセス
macOS Tahoe 26.6	2026年7月29日	155件	root権限昇格・Gatekeeper回避・カーネルメモリ破壊
macOS Sequoia 15.7.8	2026年7月	138件	多分野にわたる修正
macOS Sonoma 14.8.8	2026年7月	127件	多分野にわたる修正
watchOS / tvOS / visionOS	2026年7月	各約100件	多分野にわたる修正
Safari	2026年7月	約12件	ユーザーデータアクセス・クラッシュ
ゼロデイ（野生での悪用）	—	なし	—

最注目の脆弱性——CVE-2026-43810、リモートからのカーネルメモリ破壊

今回のアップデートでJamfのAdam Boynton氏が「第2の目で見る価値がある」と名指しで指摘したのがCVE-2026-43810です。Appleのアドバイザリには「リモートユーザーが予期しないシステム終了またはカーネルメモリの破壊を引き起こす可能性がある」と記載されており、Kernelコンポーネントのメモリ処理の問題として改善により対処されています。

この脆弱性が特に注目される理由は「リモート」という前提条件です。多くのカーネル脆弱性は攻撃者がすでに端末上でコードを実行している状態を前提とします。リモートユーザーがカーネルメモリを直接操作できるとすれば、攻撃チェーンの複雑さが大幅に減り、より少ないステップで深刻な権限昇格や端末掌握につながる可能性があります。発見者はSTAR Labs SG（Certighost[CVE-2026-54121]の研究も手がけた）のBilly Jheng Bing Jhong氏とPan Zhenpeng氏で、今回のアップデート全体で複数のカーネル修正を担当しています。

カーネルに関する修正はiOS 26.6だけで12件を数え、use after free・out-of-bounds write・race condition・integer overflow・memory initialization issueなど多様な問題が修正されています。NFS（ネットワークファイルシステム）サーバーへの接続を通じたカーネルメモリ破壊（CVE-2026-28931）も修正されており、社内ファイルサーバーを運用する組織には直接関係する可能性があります。

macOS Tahoeで修正されたroot権限昇格の5経路

macOS Tahoe 26.6では、root権限昇格につながるコンポーネントが5つ確認されており、特権管理の観点から注意が必要です。

Accounts（CVE-2026-43749）ではパス処理のパースの問題でroot権限昇格が可能でした。Core Services（CVE-2026-43693）ではrace conditionによりroot権限昇格が発生しました。SecurityAgent（CVE-2026-43755）ではrace conditionによりroot権限昇格が可能でした。Remote Management（CVE-2026-39874）では権限の問題でroot権限昇格が起こりえました。CUPS（共通UNIXプリンティングシステム、CVE-2026-39875）では権限の問題でroot権限昇格が可能であり、NVIDIAのAI Red Teamを含む複数の研究者が報告しています。

macOSではLinuxと同様にCUPSが攻撃面として繰り返し問題になっており、特にリモートコード実行との連鎖に注意が必要です。root権限昇格の修正がこれだけ集中している場合、それぞれを個別に評価するだけでなく、組み合わせた攻撃チェーンとして評価することが重要です。

iOS・macOS共通の主要修正カテゴリ

両プラットフォームに共通して修正が多い領域を整理します。

ImageIOは6件の修正を含み、悪意を持って細工された画像・テクスチャ・ファイルの処理によるメモリ破壊・任意コード実行・DoSのすべてが対象となっています。画像処理は攻撃面として広く利用されており、外部から受け取る可能性のある画像を処理するすべての経路が関係します。

Model I/Oは7件の修正が含まれており、リモート攻撃者が3Dモデルや画像ファイルを通じて予期しないアプリ終了またはヒープ破壊を引き起こせる問題が多数修正されています。いずれも出力はリモート経由で届く可能性のあるファイルを解析する際に発生するため、ファイルを受け取るすべてのエンドポイントに影響します。

WebKitは9件の修正が含まれており、悪意を持って細工されたWebコンテンツの処理によるSafariクラッシュ・プロセスメモリの開示・iframeサンドボックスポリシー違反・UIスプーフィングなどが対象です。Webブラウジングを行うすべての端末に関係するため、エンドポイント保護と合わせてブラウザの更新を確認することが推奨されます。

SceneKitは3件のout-of-bounds writeおよびinteger overflowが修正されており、任意コード実行または予期しないアプリ終了につながる可能性があります。

また、curl（CVE-2026-3783・CVE-2026-3784）とlibarchive（CVE-2026-4424）についてはオープンソースコードの脆弱性がAppleのソフトウェアにも影響していることが明記されており、OSS依存コンポーネントのリスクが改めて示されています。

macOS固有の注目修正

macOS Tahoeのみで確認された注目すべき修正として、Gatekeeper回避（CVE-2026-64708、DesktopServices）があります。SpecterOps（Lance Cain氏）が発見したこの脆弱性は、ファイル検疫のバイパスを可能にするもので、マルウェア配布の観点から重大です。Gatekeeperが適切に機能しない場合、未署名または悪意あるアプリが警告なしに実行される可能性があります。

Screen Sharing Serverには3件の脆弱性が修正されており、アプリによるネットワーク接続の傍受（CVE-2026-43779）・リモートDoS（CVE-2026-43777）・ユーザー機密データへのアクセス（CVE-2026-43760）が含まれています。リモート管理やScreen Sharingを業務上使用している環境では特に注意が必要です。

Keychain（CVE-2026-43728、Security）では、攻撃者がKeychainの状態を改ざんできる問題が修正されました。NISTのBob Gendler氏が発見したもので、認証情報管理に直接影響する可能性があります。

LoginWindowおよびSiri（CVE-2026-43766、CVE-2026-64745）では、物理的なアクセス権を持つ攻撃者がロック状態のデバイスから連絡先・写真・機密情報にアクセスできる問題が修正されました。共有端末や持ち出しMacを運用する組織では対応を優先してください。

AI支援による脆弱性発見——アドバイザリのクレジット欄に「Claude, Anthropic」

今回のAppleアドバイザリで注目される点のひとつが、脆弱性発見者のクレジット欄に「Claude, Anthropic」が明記されている点です。

iOS/macOSのWebKit（CVE-2026-64757）のクレジットには「Milad Nasr and Nicholas Carlini with Claude, Anthropic」と記載されています。macOSのWebKit StorageとSMB（CVE-2026-64704）・WebDAV（CVE-2026-64703）のクレジットには「Calif.io in collaboration with Claude and Anthropic Research」と記載されています。

これはAIアシスタントが人間の研究者と協力してソフトウェアの脆弱性を発見し、OSメーカーのアドバイザリに正式に貢献者として記載された事例として注目されます。本日リリースされたClaude Opus 5のOSS-Fuzz評価でも脆弱性発見能力がMythos 5とほぼ同水準であることが示されており、AIを活用した脆弱性研究が実際の成果として現れています。

また、Open Secure AI Alliance（OSAA）の創設メンバーでもあるTrendAI（トレンドマイクロ）は今回のアドバイザリでもTrendAI Zero Day Initiativeとして複数の脆弱性を報告しており（CoreAudio・ImageIO・Model I/O）、AIを活用したゼロデイ発見が業界標準として定着しつつある状況を示しています。

情報システム部門が取るべき対応

野生での悪用が確認されていない現状でも、今回のアップデートは規模と深刻度の両面から早期適用を推奨します。

iPhoneおよびiPadについては、iPhone 11以降・対象のiPadを業務利用している環境ではiOS/iPadOS 26.6への更新を優先してください。リモートカーネルメモリ破壊（CVE-2026-43810）の存在は、ユーザーの操作なしに攻撃が完結するシナリオへの対策として重要です。

macOSについては、Tahoe利用環境では26.6への更新が最優先です。root権限昇格の複数経路・Gatekeeper回避・Keychain改ざん・Screen Sharing Serverの脆弱性は、企業環境でのエンドポイント侵害リスクと直結します。旧バージョン（Sequoia・Sonoma）についても各バージョン向けの更新が提供されており、同様に適用を推奨します。

NFS・SMB・Screen Sharingについては、ネットワーク経由での悪用につながる修正が複数含まれているため、これらのプロトコルを内部ネットワークで利用している環境では更新後に接続確認を行ってください。

Apple製デバイスをMDM（Mobile Device Management）で管理している場合は、MDMコンソールからの一括更新ポリシーを適用し、更新の完了率を監視することを推奨します。