Apple Private Cloud Computeの脆弱性 CVE-2026-20685の発見者へAppleから報奨金 15万ドル（約2,400万円）

AppleのAI基盤「Private Cloud Compute（PCC）」に、特権的なネットワーク位置にいる攻撃者が機密情報を漏えいさせる可能性のある脆弱性「CVE-2026-20685」が確認されました。AppleはPCC Release 5E290.3で問題を修正しています。

脆弱性を調査したSentryの共同創業者兼CTO、Drinor Selmanaj氏によると、問題はPCCノードの起動処理を担うdarwin-initのパス処理にあり、細工されたアーカイブによって本来の展開先を越えてroot権限でファイルを書き込むことが可能でした。同氏はAppleが提供するVirtual Research Environment（VRE）内で、AI推論を含むノードのテレメトリ転送先を自身が管理するサーバーへ変更できることも確認しています。

ただし、本件を「Apple Intelligenceの利用者がインターネットから直接攻撃される脆弱性」や「Apple Intelligenceのプロンプトが漏えいした事案」と捉えるのは正確ではありません。Appleは攻撃条件として「privileged network position」を挙げており、研究者による検証もApple公式の研究環境内で行われ、本番インフラへの攻撃は実施されていません。

CVE-2026-20685のサマリー

• CVE-2026-20685はApple Private Cloud Compute Server Softwareのパス処理に関する脆弱性です。
• Appleは「特権的なネットワーク位置にいる攻撃者が機密情報を漏えいさせる可能性がある」と説明しています。
• 影響を受けるのはPCC Release 5E290.3より前のPrivate Cloud Compute Server Softwareです。
• AppleはPCC Release 5E290.3で入力されたパスの検証を改善し、問題を修正しています。
• SentryのDrinor Selmanaj氏は、PCCノード起動時に動作するdarwin-initでパストラバーサルを確認しました。
• 研究環境では、root権限で意図しない場所へファイルを書き込み、その後の起動後も設定変更を残せることを実証しています。
• Sentryによると、検証ではPCCのAI推論やノードテレメトリの一部を研究者側のサーバーへ転送できました。
• 一方、研究者は本番PCCインフラへの攻撃を行っておらず、すべてApple公式VREで検証したと説明しています。
• NVDにはCISA-ADPによるCVSS v3.1「6.5（Medium）」が掲載されています。攻撃ベクトルはAdjacent、必要権限なし、ユーザー操作なし、機密性への影響はHighです。
• CISA-ADPのSSVCでは、本稿確認時点で悪用状況は「none」とされています。
• CISA KEV Catalogへの掲載は本稿確認時点で確認できませんでした。
• Appleの公式リリースノートは発見者としてDrinor Selmanaj氏とSuresh Sundaram氏をクレジットしています。
• SentryはSelmanaj氏がApple Security Bountyで15万ドルの報奨金を受け取ったと公表しています。

項目	内容
CVE	CVE-2026-20685
対象	Apple Private Cloud Compute Server Software
脆弱性	パス処理不備／Path Traversal
影響	特権的ネットワーク位置からの機密情報漏えい
研究者が確認した影響	root権限でのファイル書き込み、テレメトリ転送先の変更
影響バージョン	PCC Release 5E290.3未満
修正版	PCC Release 5E290.3
CVSS	6.5（Medium、CISA-ADP）
攻撃条件	特権的なネットワーク位置
実悪用	確認できず
CISA KEV	本稿確認時点で掲載を確認できず
本番環境での検証	なし。Apple VRE内で実施
発見者	Drinor Selmanaj氏、Suresh Sundaram氏
Bug Bounty	Sentryによると15万ドル

Apple Intelligenceのクラウド処理を担うPrivate Cloud Compute

Private Cloud Computeは、Apple Intelligenceで端末上だけでは処理できない大規模なAIモデルを利用する際に、クラウド側で推論処理を行うための基盤です。

Appleは通常のクラウドAIとは異なり、PCCではユーザーの個人データを要求処理のためだけに利用し、応答後には保持しない設計を採用しています。また、Appleの運用担当者であってもユーザーデータへ特権的にアクセスできないことや、実際に稼働するソフトウェアを暗号学的に確認できる「verifiable transparency」を中核的な要件として掲げています。

ユーザー端末はPCCへデータを送信する前に、接続先のノードがAppleによって公開・承認されたソフトウェアイメージを実行していることを暗号学的に確認します。AppleはPCCの本番ソフトウェアイメージを研究者が検査できるよう公開し、Virtual Research Environmentや一部ソースコードも提供しています。

今回の脆弱性は、そうしたPCCのセキュリティモデルそのものを研究者が検証する過程で発見されました。

問題はPCC起動時のdarwin-initに存在

SentryのSelmanaj氏が確認した問題は、PCCノードの起動処理を担当するdarwin-initにありました。

darwin-initはPCCノードで最初に起動するユーザー空間プロセスで、PID 1としてroot権限で動作します。ノードの構成情報を取得し、「cryptex」と呼ばれる署名付きソフトウェアパッケージを取得・展開・インストールした後、通常運用状態へ移行させる役割を担います。

研究者によると、特定形式のアーカイブを処理する際に、内部のファイルパスが十分に検証されていませんでした。

その結果、本来指定されたディレクトリの外側へファイルを書き込めるPath Traversalが成立しました。

しかもdarwin-init自体がroot権限で動いているため、問題が成立するとroot権限によるファイル書き込みとなります。

本稿では悪用につながる具体的なアーカイブ構造やパス、再現手順は記載しません。

rootファイル書き込みからテレメトリ転送先を変更

Selmanaj氏は単に「任意の場所へファイルを書き込める」ことを確認しただけではありません。

VRE内でPCCのログ・テレメトリを管理する構成情報を書き換え、ノードが起動した後に、PCCの内部テレメトリを研究者が管理するサーバーへ転送させることに成功したと報告しています。

検証では、システムイベントやノードのテレメトリに加え、AI推論に関連するメタデータも転送されたとしています。

ただしHackreadによると、完全なユーザープロンプトそのものが取得されたわけではありません。確認されたデータにはリクエスト識別子、ワークロード情報、モデル情報、トークン数、タイミング情報などが含まれていたとされています。

この部分はAppleの短いCVE説明よりも詳細な研究者側の検証結果です。

Appleが公式に確認している影響は、「特権的なネットワーク位置にいる攻撃者が機密情報を漏えいさせる可能性がある」という範囲です。

「root権限で書き込み可能」でもRCEとは別

今回の脆弱性を評価するうえでは、「root」という言葉だけから任意コード実行やPCC全体の完全侵害と断定しないことが重要です。

Selmanaj氏はroot権限でファイルを書き込めることを実証していますが、AppleのCVE評価は情報漏えいです。NVD上のCISA-ADPによるCVSS v3.1も、完全性と可用性への影響を「None」、機密性への影響を「High」としています。

CVSSは6.5で、攻撃ベクトルもインターネット全体から到達可能な「Network」ではなく「Adjacent」と評価されています。

Appleの説明でも、攻撃者には「privileged network position」が必要です。

つまり、Apple Intelligenceの利用者が悪意のあるWebサイトを見る、特定のプロンプトを入力する、アプリをインストールするといった操作だけで直ちに攻撃される脆弱性ではありません。

「Apple Intelligenceにroot権限を取得できる脆弱性」と表現するのも範囲が広すぎます。

正確には、Private Cloud Computeのサーバー起動処理に存在したパストラバーサルによって、一定の攻撃条件下でroot権限によるファイル書き込みが可能だった問題です。

PCCのAttestationで検出されなかったと研究者が指摘

今回の研究で特に興味深いのが、PCCのAttestationとの関係です。

AppleはPCCについて、ユーザー端末が接続するサーバーでAppleが公開したソフトウェアだけが動いていることを暗号学的に確認できる仕組みを設けています。

しかしSelmanaj氏は、今回書き換えたデータ領域上の構成情報については、検証したAttestationの仕組みでは変更を検出できなかったと報告しています。

これは「PCCのAttestationが破られた」と単純化すべき話ではありません。

PCCのAttestationは実行されるソフトウェアイメージなどを検証する設計であり、研究者が指摘しているのは、その信頼モデルの外側にある書き込み可能な構成データを変更できたことで、正規ソフトウェアを維持したまま挙動へ影響を与えられたという点です。

クラウドAI基盤を設計する際には、「実行コードが正規であること」だけでなく、「そのコードが読み込む設定やデータが信頼できること」まで検証範囲に含める必要があることを示す事例といえます。

AppleはPCC Release 5E290.3で修正

AppleはCVE-2026-20685について、パス処理の検証を改善することで問題を修正しました。

影響を受けるのはPCC Release 5E290.3未満で、5E290.3で修正されています。

AppleのCVEレコードは2026年5月18日に公開されており、NVD上でもAppleをCNAとする情報として同日に登録されています。

一方、Sentryは7月31日に技術的な検証内容を公表し、Hackreadが8月18日にその内容を報じたことで、脆弱性の具体的な技術的影響が改めて注目されました。

Appleの公式リリースノートは、発見者としてDrinor Selmanaj氏とSuresh Sundaram氏をクレジットしています。

Hackreadの記事では主にSelmanaj氏が取り上げられていますが、Apple一次情報上は2人がクレジットされている点には注意が必要です。

Sentryは15万ドルのApple Security Bountyを受領と公表

Sentryによると、Selmanaj氏の報告に対してAppleから15万ドルのApple Security Bountyが支払われました。

AppleはPrivate Cloud Compute向けのSecurity Bountyを設けており、特権的なネットワーク位置を前提としてユーザーのリクエストデータなどへアクセスできる脆弱性には、最大15万ドルの報奨金を設定しています。

また、AppleはPCCへのリモート攻撃によって任意コード実行まで到達する最上位カテゴリでは、最大100万ドルを設定しています。

今回の研究は、AppleがPCCのソフトウェア、VRE、一部ソースコードを研究者へ提供し、第三者にセキュリティ保証を検証させる仕組みが実際の脆弱性発見につながった例でもあります。

実悪用は確認されず、本番環境への攻撃も実施していない

現時点で、CVE-2026-20685が実際の攻撃で悪用されたことを示すAppleからの公表は確認できません。

NVDに掲載されたCISA-ADPのSSVCでも、悪用状況は「none」とされています。

また、本稿確認時点でCISA Known Exploited Vulnerabilities Catalogへの掲載も確認できませんでした。

Selmanaj氏も、すべての研究をApple公式のVirtual Research Environment内で行い、本番インフラへのテストは実施していないと明記しています。

そのため、「Apple Intelligenceのユーザーデータが流出した」「PCCが実際に侵害された」と表現する根拠はありません。

確認されているのは、研究環境で脆弱性を再現し、想定される情報漏えいへの経路を実証したことです。

情報システム・AI基盤担当者への示唆

CVE-2026-20685はAppleが管理するPrivate Cloud Computeのサーバー側脆弱性であり、一般のiPhone、iPad、Mac利用者が自らPCCをアップデートする必要がある問題ではありません。

一方、企業が独自に生成AI基盤やプライベートAI環境を構築している場合には、参考になる点があります。

第一に、AIセキュリティをプロンプトインジェクションやモデルの安全性だけで考えないことです。

AIサービスも最終的にはOS、コンテナ、アーカイブ処理、ログ基盤、設定ファイル、ネットワーク、認証、更新機構など、従来型のソフトウェアで構築されています。

今回の問題もモデルそのものではなく、サーバー起動時のファイル処理に存在した古典的なPath Traversalでした。

第二に、Attestationや署名検証だけでは十分とは限りません。

正規のコードだけを実行していても、そのコードが参照する設定ファイルや可変データを書き換えられれば、意図しない動作につながる可能性があります。

機密性の高いAI推論環境では、実行バイナリだけでなく、設定、Secrets、ログ転送先、モデル設定、プロキシ設定などについても改ざん防止と完全性検証を設計する必要があります。

第三に、テレメトリ基盤自体を信頼境界として扱うことです。

ログやメトリクスは防御に不可欠ですが、AI推論に関する識別子、モデル情報、処理量、タイミングなどが外部へ漏れれば、利用状況の分析やサイドチャネルの材料になる可能性があります。

AIサービスでは「プロンプト本文をログへ出していないから安全」と考えるのではなく、メタデータを含めた観測情報全体をデータ分類の対象にする必要があります。

今回のCVE-2026-20685はCVSSだけを見れば6.5ですが、AppleがPCCで掲げている「ユーザーデータをApple自身からも保護する」という高いセキュリティ保証を考えると、クラウドAI基盤における信頼境界の設計を検証するうえで重要な事例です。

同時に、Appleが本番ソフトウェアの検査手段やVirtual Research Environmentを外部研究者へ提供したことで、こうした問題が第三者によって発見・報告された点も注目されます。

クラウドAIの信頼性を高めるうえでは、アーキテクチャ上の保証だけでなく、「その保証を第三者が実際に検証できるか」が今後さらに重要になりそうです。

出典

• Private Cloud Compute Release Notes – Apple Security Research
• Private Cloud Compute: A new frontier for AI privacy in the cloud – Apple Security Research
• Security research on Private Cloud Compute – Apple Security Research
• Apple Security Bounty Categories – Apple Security Research
• CVE-2026-20685 Detail – NIST NVD
• Beyond Prompt Injection: Hacking Apple’s Private Cloud Compute – Sentry Applied Research Center