CVE-2020-27932とは？Apple の複数の製品の脆弱性をわかりやすく解説

ひとことでApple の iPhone や Mac などで、アプリがカーネルの権限で動いてしまう弱点です。
深刻度7.8 重要CVSS v3.1
まずやることiPhone と iPad を iOS 14.2 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2020-27932
製品	Apple Multiple Products
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-843（型の取り違え）

何が起きた

Apple の iOS、iPadOS、macOS、watchOS のカーネル（OS の中心部分）に、型の取り違え（type confusion）という弱点が見つかりました。悪意のあるアプリが、カーネルの権限で任意の（攻撃者が好きに選べる）コードを実行できる可能性があります。NVD の評価では、機器の上で動くアプリなどから悪用され、利用者の操作が必要とされています。Apple は、この弱点を悪用する攻撃コードが実際に存在するという報告を把握していると公表しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

修正前の iOS、iPadOS、macOS、watchOS を使っている人が対象です。iOS 12.4.9 は古い iPhone（iPhone 5s、iPhone 6 など）向けの修正です。

何をすればいい

iOS 14.2 と iPadOS 14.2、iOS 12.4.9、macOS Big Sur 11.0.1、watchOS 7.1、watchOS 6.2.9、watchOS 5.3.9 などで修正されています。macOS Catalina は 10.15.7 Supplemental Update、Mojave と High Sierra は Security Update 2020-006 で修正されています。Apple の公式の案内を確認し、これらの版以降に更新されているか確認してください。

やることチェックリスト

iPhone と iPad を iOS 14.2 以降に更新する
Mac を macOS Big Sur 11.0.1 以降に更新する
Apple Watch を watchOS 7.1 以降に更新する

用語メモ

カーネル用語集で見る: OS の中心にあり、メモリや機器の管理など大事な仕事をする部分です。
type confusion: プログラムがデータの種類（型）を取り違えて扱ってしまう弱点で、メモリを不正に操作されるきっかけになります。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Type Confusion Vulnerability

概要

Apple iOS, iPadOS, macOS, and watchOS contain a type confusion vulnerability that may allow a malicious application to execute code with kernel privileges.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Apple の複数の製品の型の取り違えの脆弱性（CVE-2020-27932）