Apple、高度な標的型攻撃に悪用されたWebKitのゼロデイ脆弱性2件にパッチを適用 著者 Bruna
読了時間 約8分
 |
Apple は、2025 年 12 月 12 日にいくつかのオペレーティング システムに対してセキュリティ アップデートをリリースしました。この修正は、CVE-2025-43529 および CVE-2025-14174 として特定される WebKit ブラウザ エンジンの 2 つの重大な欠陥に対処します。これらの脆弱性により、悪意のある Web コンテンツの処理時に任意のコードが実行されたり、メモリが破損したりする可能性があります。
同社は、この欠陥がiOSの以前のバージョンで特定の個人に対する高度に標的を絞った攻撃に悪用されたことを確認した。そのうちの 1 つである CVE-2025-14174 は Google の Chrome ブラウザにも影響を及ぼし、12 月 10 日に別の修正が提供されました。
アップデートの対象となるのは、iOS、iPadOS、macOS、tvOS、watchOS、visionOS、Safari です。リスクを軽減するには、ユーザーは最新バージョンをインストールする必要があります。
修正された脆弱性の詳細
CVE-2025-43529 は、WebKit の解放後の使用の問題です。この欠陥により、攻撃者は細工された Web ページを介して影響を受けるデバイス上で任意のコードを実行する可能性があります。
Google Threat Analysis Group の研究者がこの問題を特定し、Apple に報告しました。このエクスプロイトでは、被害者がブラウザ内の悪意のあるコンテンツにアクセスするだけで済みました。
CVE-2025-14174 には、Web コンテンツの処理におけるメモリ破損が関係します。彼女の CVSS スコアは 8.8 であり、重症度が高いことを示しています。
これと同じ脆弱性が Chrome の ANGLE ライブラリに影響し、Apple と Google の間で調整された修正が行われました。どちらの欠陥も、iOS および iPadOS 上のすべてのブラウザで必須である WebKit に影響します。
- 追加のユーザー操作なしでリモートでコードを実行します。
- ターゲットデバイスにスパイウェアがインストールされる可能性。
- 探索は、大規模なキャンペーンではなく、ターゲットを絞ったキャンペーンに限定されます。
更新されたバージョンと互換性のあるデバイス
修正は、各プラットフォームの特定のバージョンを通じて提供されます。 iOS と iPadOS の場合、アップデートは iOS 26.2 と iPadOS 26.2 に加え、古いモデルの場合は iOS 18.7.3 と iPadOS 18.7.3 です。
XS 以降の iPhone、最近の世代の iPad、および互換性のある iPad mini をカバーしています。 macOS Tahoe 26.2 では、アップデートはそのバージョンを実行している Mac に適用されます。
- tvOS 26.2: Apple TV HD および 4K のすべてのモデル。
- watchOS 26.2: Apple Watch Series 6 以降。
- visionOS 26.2: すべての Apple Vision Pro モデル。
- Safari 26.2: macOS Sonoma または Sequoia を搭載した Mac。
ユーザーはアップデートを自動的に受信するか、ソフトウェア設定から手動でインストールできます。
2025 年のゼロデイ探査の状況
これらの修正により、Apple はその年に悪用されたゼロデイ脆弱性の数を 9 件に達しました。以前、同社は 2025 年初頭に CVE-2025-24085、CVE-2025-24200、CVE-2025-24201 などの欠陥にパッチを適用しました。
その他には、CVE-2025-31200、CVE-2025-31201、CVE-2025-43200、CVE-2025-43300 が含まれていました。その多くは、Kernel や ImageIO などのコンポーネントに関係しています。
ゼロデイの頻度は、Apple エコシステムに対する高度な攻撃者の関心を反映しています。 Google TAG などのグループとの連携により、これらの脅威を迅速に検出できます。
これらのインシデントは、モバイルおよびデスクトップ デバイスでの定期的なアップデートの重要性を浮き彫りにしています。
WebKitの技術的特徴
WebKit は、Safari で使用されるオープンソースのレンダリング エンジンとして機能します。 iOS および iPadOS では、セキュリティ上の制限により、Chrome、Edge、Firefox を含むすべてのサードパーティ ブラウザーがそれに依存します。
このため、WebKit の欠陥は Apple ユーザーにとって特に重要です。攻撃は、悪意のあるアプリを必要とせずに、代替ブラウザを悪用する可能性があります。
CVE-2025-14174 に関係する ANGLE ライブラリは、WebGL グラフィックスを処理します。このレイヤーの問題は、複数のプラットフォームでのレンダリングに影響します。
メモリ管理の改善により、報告されたクラッシュが解決されました。
AppleとGoogleのコラボレーション
共同発見には、セキュリティ チーム間の調整が反映されます。 Google TAG と Apple SEAR は協力して CVE-2025-14174 を特定しました。
Googleは12月10日に初めてChromeデスクトップにパッチを適用した。 Appleは2日後に広範なアップデートを行った。
このパートナーシップにより、オープンソース コンポーネントにおける共通の脅威への対応が加速されます。エクスプロイトは、傭兵スパイウェア キャンペーンでの使用を示唆しています。
同じアップデート内の他の修正
このアップデートには、さまざまなコンポーネントの 20 を超える追加の欠陥に対するパッチが含まれています。整数オーバーフローなどのカーネルの問題により、権限が昇格される可能性があります。
FaceTime、メッセージ、App Store などのフレームワークの欠陥も修正されます。中には機密データへの不適切なアクセスを伴うものもありました。
- CVE-2025-46285: 潜在的なルートによるカーネル オーバーフロー。
- スクリーンタイムの問題により閲覧履歴が公開される。
- curl およびその他のネットワーク モジュールを修正しました。
これらの全般的な改善により、システム全体のセキュリティが強化されます。
ユーザーへの推奨事項
専門家は、利用可能なアップデートを直ちにインストールするようアドバイスしています。 iPhone または iPad で、[設定] > [一般] > [ソフトウェア アップデート] に移動します。
Mac では、システム環境設定または設定を使用してアップデートを確認します。古いデバイスには、iOS 18.7.3 などの延長サポート バージョンが適用されます。
定期的にバックアップを維持することで、保護手段が強化されます。疑わしいリンクを回避すると、Web 経由で悪用されるリスクが軽減されます。米国サイバーセキュリティ庁は、悪用された既知の脆弱性のカタログに欠陥の 1 つを追加しました。
Apple デバイスに対する脅威の進化
WebKit の欠陥の悪用は、標的型攻撃において依然として一般的です。過去数年には、同様の脆弱性により監視ツールのインストールが容易になりました。
Apple の迅速な対応により、これらのキャンペーンの影響は限定されます。高度な攻撃に焦点が当てられているということは、ジャーナリストや活動家などの注目を集める標的であることを示しています。
内部および外部チームによる継続的な監視により、検出の効率が維持されます。
