Apple は、攻撃者によって積極的に悪用されていた重大な脆弱性を修正するために、今週月曜日、2025 年 12 月 29 日に緊急セキュリティ アップデートである iOS 26.2 をリリースしました。同社は、「ゼロデイ」として知られるこの侵害により、悪意のあるコードがリモートで実行され、iPhoneやその他のブランドデバイスのデータセキュリティが侵害される可能性があると警告した。
このパッチ パッケージの主な焦点は、同社のエコシステム内の Safari ブラウザやその他のインターネット対応アプリケーションを動かすエンジンである WebKit です。この欠陥により、サイバー犯罪者はユーザー側のアクションを必要とせずにデバイスを制御できるようになり、個人情報や財務情報に重大なリスクをもたらしました。
状況の深刻さのため、メーカーは互換性のあるデバイスのすべての所有者が新しいソフトウェアを直ちにインストールすることを推奨しています。このアップデートは、すでに進行中の攻撃からシステムを保護し、悪意のあるエージェントが使用するメインゲートウェイを無力化することを目的としています。
ゼロデイ脆弱性とユーザーへのリスク
2 つの主な欠陥は、CVE-2025-43529 および CVE-2025-14174 として正式にカタログ化されています。 「ゼロデイ」脆弱性は、ソフトウェア開発者自身が気づく前にハッカーによって発見され、悪用されるセキュリティ ホールを指すため、特に危険です。一般の人々が利用できる防御策や修正策がないため、これにより標的型攻撃の機会が生まれます。
iOS 26 の特定のケースでは、攻撃者は悪意のある Web サイトを使用して破損したデータ パケットを配信しました。このデータを WebKit で処理するとメモリ オーバーフロー (バッファ オーバーフロー) が発生し、任意のコードが実行される可能性がありました。この方法により、メッセージ、通話、場所、機密ファイルへのアクセスなど、すべてのユーザー アクティビティを監視できるスパイウェアであるスパイウェアのインストールへの道が開かれました。
WebKit エンジンとモバイル ブラウジングへの直接的な影響
WebKit は、すべての Apple 製品でのインターネット ブラウジングの中心であり、App Store で入手できるブラウザにとって必須のコンポーネントです。この集中化は、その核心部分にある脆弱性が Safari だけでなく、iOS 上で実行されている Chrome や Firefox などのサードパーティ アプリにも影響を与えることを意味します。 iOS 26.2 に実装された修正により、メモリ管理が改善され、これらのホールの悪用を防ぐためにより厳格なデータ検証が導入されました。昇格した特権で悪意のあるコードを実行できるため、攻撃者がソフトウェアの最も基本的な部分であるカーネルにアクセスしてオペレーティング システムを完全に制御できる可能性があります。このリスクを軽減するために、新しいセキュリティ パッチはプロセス分離を強化します。これは、侵害されたタブやアプリケーションがシステムの制限された領域や他のアプリケーションのデータにアクセスすることを防ぎ、デバイスの完全性を保護するためのより堅牢なデジタル バリアを作成します。
互換性のあるデバイスとリリースされたセキュリティ バージョン
Apple は、最新モデルだけでなく、幅広い製品に保護を適用することを保証しています。
iOS 26 をサポートしていない古いデバイスの場合は、iOS 18.7.3 および iPadOS 18.7.3 が利用可能になり、より大規模なユーザー ベースが危険にさらされることはなくなりました。
アップデートを受け取った製品ラインには、モデル 15 以降の iPhone、すべての iPad Pro および Air モデル、macOS Tahoe 26.2 を搭載したコンピュータ、さらには Apple Watch やvisionOS が含まれます。
データ保護に必要な手続き
セキュリティアップデートをインストールするには、ユーザーは「設定」アプリに移動し、「一般」オプションを選択して、「ソフトウェアアップデート」をタップする必要があります。
デバイスは新しいパッケージが利用可能かどうかを自動的に確認します。プロセスが中断せずに実行できるように、Wi-Fi ネットワークに接続し、バッテリーが少なくとも 50% あることをお勧めします。
自動配布では世界中のすべてのデバイスに配信されるまでに数日かかる場合があるため、更新を手動で検索することが保護を確保する最も早い方法です。
攻撃の高度な性質により、オペレーティング システムを常に最新の状態に保つことの重要性が強調されています。これは、オペレーティング システムがサイバー脅威に対する主な防御障壁となるからです。
スパイウェアを利用した高度な攻撃の歴史
ゼロデイ欠陥を利用してモバイル デバイスにスパイウェアを仕掛けるのは、デジタル スパイ集団や政府機関にとって一般的な戦術となっています。これらの脆弱性はアンダーグラウンド市場で高く評価されており、機密情報にアクセスする可能性があるため、数百万ドルの費用がかかる可能性があります。 Apple にはこれらのインシデントに迅速に対応してきた歴史があり、今回のケースのように、アクティブなエクスプロイトを確認してから数時間または数日以内に修正プログラムをリリースすることがよくありました。
iOS 26 の抜け穴を迅速に特定して修正することは、攻撃の大規模な拡大を防ぎ、数百万のユーザーをフィッシング キャンペーンやマルウェアのサイレント インストールから保護するために極めて重要でした。 CVE-2025-43529 の欠陥の中核であるメモリ管理は、安全なオペレーティング システムの開発において引き続き最も困難な領域の 1 つであり、新しい侵入手法を予測して無力化するためにエンジニアによる継続的な警戒とテストが必要です。
追加のセキュリティ対策と整合性チェック
Appleは、アップデートのインストールに加えて、活動家、ジャーナリスト、政治家など、高リスクのターゲットとなる可能性のあるユーザーに対して、「ブロックモード」をオンにすることを検討するよう提案している。この機能は、メッセージの添付ファイルや特定の Web テクノロジーなどのデバイスの機能を大幅に制限し、ハッカーが悪用できる攻撃対象領域を大幅に減らします。
新しいソフトウェアでは、整合性チェックが強化されました。現在、WebKit によってアップロードされたすべてのコンテンツは、処理される前にデジタル署名の検証が行われます。この変更は、ユーザーには透過的ですが、基本的なセキュリティ層を追加して、未承認のスクリプトの実行を防ぎ、バックグラウンドで動作する悪意のあるプロセスによってデバイスのパフォーマンスが影響を受けないようにします。
