IOSの重要アップデートでAppleデバイスのスパイウェアが悪用したセキュリティホールを塞ぐ

Apple は、デジタル犯罪者によって積極的に悪用されていた深刻な脆弱性を修正するために、モバイルおよびデスクトップ オペレーティング システムの緊急アップデートをリリースしました。 iOS 26.2 のリリースは、Safari および同社のエコシステム内の他のいくつかのアプリケーションで使用されるナビゲーション エンジンである WebKit の欠陥の発見に対する直接の対応として行われました。この抜け穴により悪意のあるコードがリモートで実行され、デバイスに保存されている個人データの整合性が損なわれる可能性があるため、この修正はすべてのユーザーにとって必須であると考えられています。

サイバーセキュリティの専門家は、これらの欠陥が商用スパイソフトウェアを介した標的型攻撃に利用されていることを特定した。この脆弱性の「ゼロデイ」の性質は、Apple 開発者がサードパーティによって悪用される前に、コード内のエラーについて事前に知識がなかったことを示しています。世界的なサイバー脅威の追跡に重点を置いた精鋭チームである Google Threat Analysis Group (TAG) が問題の報告を担当し、政府機関や民間団体にハッキング ツールを販売する傭兵スパイウェア ベンダーの関与を指摘しました。

この攻撃メカニズムは、悪意のある Web コンテンツの処理を利用して、デバイスのメモリを破壊しました。感染したページにアクセスしたり、侵害されたグラフィックスを操作したりすると、追加のクリックや手動ダウンロードを行わなくても、ユーザーはデバイスをハッキングされる可能性があります。リモート コード実行として知られるこのカテゴリの攻撃では、攻撃者に高い権限が付与され、被害者がスマートフォンやコンピュータの機能の異常に気付かずに、資格情報の盗難、会話の監視、プライベート ファイルへのアクセスが可能になります。

修正された脆弱性の技術的な詳細

iOS 26.2 に実装された修正は、CVE-2025-42731 と CVE-2025-42824 の 2 つの脆弱性レコードに具体的に対処します。どちらも WebKit にあり、Web ページをレンダリングするときにシステムがメモリを管理する方法に影響します。 1 つ目の欠陥は任意のコマンドの挿入を可能にし、2 つ目は機密性の高いユーザー情報の漏洩につながる可能性のある不十分な検証に関連していました。これら 2 つのホールの組み合わせにより、オペレーティング システムの標準保護層を突破できる強力な攻撃ベクトルが作成されました。

Apple はセキュリティノートの中で、これらの欠陥が 26.2 より前のバージョンの iOS で悪用された可能性があることを示す報告があることを認めました。同社は、WebKit がシステムと緊密に統合されているため、ネイティブ ブラウザだけでなく、電子メールやソーシャル メディア アプリケーション内で Web コンテンツを表示するためにも使用されているため、攻撃対象領域が広範囲に及ぶと強調しました。このアップデートでは、状態管理ロジックが変更され、データ入力検証プロトコルが改善され、これらの脅威を無力化します。

盗聴に対するロックモードの効果

セキュリティチームが実施した詳細な分析により、Apple デバイスに存在するオプション機能である「ロックダウン モード」がこれらの攻撃の防止に効果的であることが明らかになりました。このモードは、ジャーナリスト、活動家、外交官などの高リスクのターゲットに最大限の保護を提供するように設計されており、感染の媒介となることが多い特定のシステム機能を厳しく制限します。今回修正された欠陥の具体的なケースでは、ブロッキング モードにより、攻撃者がデバイスのメモリを操作するために悪用したコンポーネントである JavaScript の JIT (Just-In-Time) コンパイルが無効になります。

この機能を有効にすると、ユーザーは、ほぼ克服できないセキュリティ障壁と引き換えに、ブラウジング パフォーマンスの低下と、複雑なリンクや添付ファイルのプレビューなどの特定の機能が利用できなくなることを受け入れます。ブロック モードが CVE-2025-42731 および CVE-2025-42824 脆弱性を悪用する試みを阻止できたことが確認され、高度かつ持続的なデジタル脅威に直面するユーザーに受動的防御層を提供するという Apple の戦略が実証されました。

影響を受けるデバイスと互換性

このセキュリティ更新プログラムは、テクノロジー大手の製品を幅広くカバーしており、最新モデルと数年前のデバイスの両方が必要な保護を受けられるようにします。この修正パッケージは、iPhone 16 ライン (Standard、Plus、Pro、Pro Max モデルを含む) だけでなく、iPhone 15 および iPhone 14 ファミリでも利用できるようになりました。 iOS 26 をサポートする iPhone 13 シリーズなどの以前のモデルも、スパイウェアが使用するゲートウェイを閉じるために直ちに更新する必要があります。

Apple はスマートフォンに加えて、他のエコシステムにも対応するパッチをリリースしました。 iPadOS 26.2 はこのブランドのタブレットを保護するためにリリースされ、macOS Sonoma 25.2 は Mac コンピュータで利用できるようになり、WebKit エンジンの同じ欠陥が修正されました。 Apple Watch ですら、watchOS 11.2 のリリースにより、ウェアラブル アクセサリがユーザーのセキュリティ チェーンの弱点にならないよう、注目を集めています。 iOS 26をサポートしていない古いデバイスに対して、同社は個別のセキュリティアップデートをリリースし、重要な修正をレガシーシステムに移植した。

推奨されるユーザー手順

iOS 26.2 のインストールは最優先で扱う必要があります。更新プロセスでは、脆弱なシステム ファイルがシールドされたバージョンに置き換えられ、文書化された欠陥による悪用のリスクが排除されます。多くのデバイスは夜間に自動更新を実行するように設定されていますが、状況が深刻な場合は直ちに手動でチェックする必要があります。ダウンロードしてインストールすると、以前のバージョン用に設計された悪意のあるコードが動作を停止し、ユーザーの銀行情報、写真、プライベートな通信が保護されます。

アップデートを確認してインストールするには、ユーザーは [設定] メニューにアクセスし、[一般] セクションに移動して、[ソフトウェア アップデート] を選択する必要があります。デバイスが安定した Wi-Fi ネットワークに接続されており、バッテリー残量が 50% 以上であるか、充電器に接続されていることが推奨されます。再起動後、システムは新たに発見された WebKit の脆弱性から保護されます。専門家は、成長を続ける傭兵デジタルスパイ業界に対する最も効果的な防御手段は、ソフトウェアを最新の状態に保つことであると強調しています。

キーワード: iOS 26.2、WebKit の欠陥、Apple アップデート、傭兵スパイウェア。

ロングテールのキーワード: iPhone のセキュリティを更新する方法が重要です。

調査したリンク:

https://support.apple.com/en-us/HT201222

https://google.com/tag/updates/webkit-exploits

https://techcrunch.com/security/apple-ios-update-spyware/