iOS 26.2のアップデートとスパイウェア対策

Apple

2025.12.17

iOS 26.2のアップデートは、スパイウェアによる標的型攻撃で悪用された可能性のある複数のゼロデイ脆弱性を含む、多数のセキュリティ上の問題を修正するために公開されました。

特に注目すべき点は以下の通りです。

修正された主な脆弱性
アップデートの重要性
iOS 26.2で修正された「ゼロデイ脆弱性」の詳細
1. スパイウェア攻撃との関連
その他の重要なセキュリティ修正
まとめ

修正された主な脆弱性

WebKitのゼロデイ脆弱性: 少なくとも2件のWebKit（ブラウザのエンジン）に関する脆弱性が修正されました。これらは、ジャーナリストや活動家、政府関係者などの「ハイリスクユーザー」を狙うスパイウェアキャンペーンですでに悪用されていた可能性が高いとされています。
カーネルの脆弱性: 整数オーバーフローの問題（CVE-2025-46285など）が修正され、これにより悪意のあるアプリがルート権限を取得できる可能性が排除されました。カーネルレベルの権限昇格は、システム全体への深刻な影響を意味します。
App Storeの脆弱性: 権限チェックの不備により、アプリが決済トークンなどの機密な支払い情報にアクセスできる可能性があった問題（CVE-2025-46288など）が修正されました。

アップデートの重要性

iOS 26.2は、これらのスパイウェア関連の脅威やその他の深刻な脆弱性からiPhoneを強力に保護するための重要なアップデートです。ゼロデイ脆弱性が公表された後は、他の攻撃者が修正内容を分析し、より広範な攻撃に悪用するリスクが高まるため、一般ユーザーにとっても速やかなアップデートが強く推奨されます。

お使いのデバイスを安全に保つために、まだアップデートされていない場合は、すぐに実施することをおすすめします。

iOS 26.2で修正された「ゼロデイ脆弱性」の詳細

Appleは、これらの問題が「iOS 26より前のバージョンを使用している特定の標的個人に対する、極めて高度な攻撃で悪用された可能性がある」と公式に述べています。これは、ジャーナリスト、活動家、政府関係者など、いわゆるハイリスクユーザーを狙うスパイウェア（例：Pegasusなど）による標的型攻撃を示唆しています。

CVE-ID	影響を受けるコンポーネント	脆弱性の種類	攻撃による影響	発見者
CVE-2025-43529	WebKit (Safariなどのブラウザエンジン)	解放後メモリ利用 (Use-after-free)	任意のコード実行を可能にする。悪意あるWebコンテンツを処理することで、攻撃者がデバイスをリモートで制御できる可能性があります。	GoogleのThreat Analysis Group (TAG)
CVE-2025-14174	WebKit (メモリ処理のサブコンポーネント)	メモリ破壊 (Memory Corruption)	悪意あるWebコンテンツを処理することで、プロセスがクラッシュするか、メモリが破壊される可能性があります。これもまた、悪用されるとコード実行につながる可能性があります。	AppleとGoogle TAG

スパイウェア攻撃との関連

攻撃経路: これらの脆弱性はすべて「WebKit」に存在します。WebKitは、Safariだけでなく、iOS上のサードパーティ製ブラウザ（Chromeなど）や、アプリ内のWebビューでも使用される中核技術です。
実行方法: ユーザーが悪意のある細工が施されたWebサイトにアクセスしたり、特定のメディアファイルを処理したりするだけで、脆弱性が悪用されます。この種の攻撃は、ユーザーの操作がほとんど不要な「ゼロクリック」または「ワンクリック」でスパイウェアをインストールするために利用されることが一般的です。
攻撃の高度さ: 「極めて高度な攻撃」という表現は、この種の脆弱性の悪用には、高度な技術力と多額の費用がかかる商業的なスパイウェアベンダー（NSO Groupなど）が関与していることを示しています。

その他の重要なセキュリティ修正

iOS 26.2では、上記ゼロデイ以外にも、システム全体のセキュリティとプライバシーに関わる多数の深刻な脆弱性が修正されています。

Kernel (CVE-2025-46285): タイムスタンプの処理に起因する整数オーバーフローのバグが修正されました。これは、悪用されると、アプリが通常アクセスできないルート権限（システム全体を制御する権限）を取得できる可能性があり、非常に深刻です。
App Store (CVE-2025-46288): 権限チェックの不備により、悪意のあるアプリが決済トークンなどの機微な支払い情報にアクセスできる可能性があった問題が解消されました。
Photos (CVE-2025-43428): 「非表示アルバム」に格納した写真が、認証なしで閲覧できてしまう可能性があったプライバシーの脆弱性が修正されました。