「Webページを開くだけでコードが実行されるおそれ」と聞くと、自分のiPhoneやMacがすでに危険な状態なのか、不安になるかもしれません。
今回確認したいのは、使っている端末に修正済みの更新が提供されているかどうかです。
Appleは2026年10月26日、複数の製品向けにセキュリティアップデートを公開しました。
対象にはWebコンテンツの処理に関係する問題も含まれます。
この記事では、問題の内容と対象となる更新を整理し、現在のバージョンの確認からアップデートまでを解説します。
Appleが公開した更新には、iOS／iPadOS 27.2、26.7.2、18.7.11のほか、macOS Golden Gate 27.2、macOS Tahoe 26.7.2、macOS Sequoia 15.8.2が含まれます。
macOS SequoiaとTahoe向けにはSafari 27.2も公開されました。
今回の更新は、一つの脆弱性だけを修正するものではありません。
Webページを表示する仕組みのほか、OSやアプリに関係する複数の問題が対象です。
iPhoneとMacの両方を持っている場合は、それぞれの端末で更新状況を確認してください。
Appleの修正内容： https://support.apple.com/en-us/149230
Safariの修正内容： https://support.apple.com/en-us/149527
Appleは、iOS／iPadOS 18.7.11で修正したCoreGraphicsの脆弱性「CVE-2026-86950」について、細工されたファイルの処理によって任意のコードが実行されるおそれがあると説明しています。
同社は、iOS 27より前のバージョンで、特定の個人を狙った極めて高度な攻撃に悪用された可能性があるとの報告を把握しています。
これはWebKitの脆弱性とは別の問題です。
一般利用者全体への大規模な被害が確認されたとAppleが発表したわけではありませんが、対象端末を使っている人は更新を確認しましょう。
WebKitは、SafariなどでWebコンテンツを表示するために使われる仕組みです。
AppleのiOS 27.2の説明には、細工されたWebコンテンツを処理した場合に任意のコードが実行されるおそれのある、WebKit CanvasやWebKit JavaScript Bindingsの問題が記載されています。
任意のコード実行とは、攻撃者が用意した処理を端末側で動かせる可能性を指します。
ただし、それだけで端末のすべてを自由に操作できると決まるわけではありません。
実際の影響は、動作する権限や保護機構、ほかの脆弱性との組み合わせなどに左右されます。
問題となるのは、悪意を持って細工されたコンテンツを、修正されていない環境で処理する場合です。
どのWebページを見ても感染するという意味ではありません。
また、今回紹介するWebKitの問題について、上記のCoreGraphicsと同じ悪用報告があると決めつけることもできません。
メールやSNSで届いた不審なリンクを避けることは有効ですが、信頼していたサイトが改ざんされる可能性もあります。
リンクへの注意だけに頼らず、端末に提供される修正を適用することが基本です。
次の表は今回公開された更新の整理です。
端末のモデルやOS系列によって選べるバージョンは異なり、すべての更新が同じ脆弱性を修正するとは限りません。
iOS 27.2はiPhone 11以降などが対象です。
iOS 18.7.11には、iPhone XS、XS Max、XRなど旧機種向けの更新が含まれます。
iPadは世代によって対象が分かれるため、機種名だけで判断せず、端末の更新画面とAppleの公式情報を合わせて確認してください。
iPhone・iPadでは「設定」→「一般」→「情報」で、機種名とOSのバージョンを確認できます。
Macでは画面左上のAppleメニューから「このMacについて」を開くと、macOSの名称やバージョンを確認できます。
ここで確認した番号が表と違っていても、直ちに被害を受けたという意味ではありません。
次に「ソフトウェアアップデート」を開き、実際に適用できる更新を確認します。
より新しい更新が公開されている場合は、その説明も確認しましょう。
更新には空き容量や時間が必要になる場合があります。
作業中に電源が切れないようにし、急ぎの連絡や仕事がある場合は利用できない時間も見込んでください。
MacではAppleメニューから「システム設定」→「一般」→「ソフトウェアアップデート」を開き、表示された更新を確認します。
古いmacOSでは画面の名称や場所が異なる場合があります。
MacのSafariは通常、ソフトウェアアップデートを通じて更新します。
macOS本体の更新とSafariの更新が表示された場合は、それぞれ内容を確認してください。
バックアップにはTime Machineなどを利用でき、作業中のファイルは事前に保存しておきます。
会社や学校が管理する端末では、更新時期や手順が制限されていることがあります。
勝手に設定を変更せず、管理者に提供状況と適用予定を確認しましょう。
まず、インターネット接続、ストレージの空き容量、端末の管理制限を確認してください。
対応するOS系列が異なるため、ほかの人と同じバージョンが表示されない場合もあります。
機種名と現在のOSを確認し、Appleのセキュリティ情報やサポート窓口で、その端末に提供される更新を調べましょう。
端末が修正を受け取れない場合は、不審なリンクやファイルを開かない、重要なアカウントへのアクセスを修正済み端末に移すといった対策を検討します。
ただし、これらは未修正の脆弱性を解消するものではありません。
継続的にセキュリティ更新を受けられない端末は、利用範囲の制限や買い替えも判断材料になります。
企業では、更新を通知するだけでなく、対象端末を把握し、適用の完了を確認するところまで必要です。
個人所有端末で業務メールやクラウドサービスにアクセスしている場合も、管理方針に沿って対象に含めるか検討します。
業務アプリとの互換性を確認する必要がある場合は、検証と展開の日程を決め、更新できない端末の責任者と対応期限を明確にします。
重要な情報にアクセスできる端末ほど、適用状況を早めに確認したいところです。
今回、読者が最初に行うべきことは、iPhone・iPad・Macそれぞれの「ソフトウェアアップデート」を開き、提供されている修正を確認することです。
WebKitの問題と、旧iOSで悪用の可能性が報告されたCoreGraphicsの問題は別々に扱いましょう。
バックアップを取ったうえで、利用中の機種とOSに適した更新を適用する。
更新が表示されない、または業務上すぐに適用できない場合は、対象機種と管理者の方針を確認することが次の一歩です。
.png){kind=logo}
