CVE-2020-9859とは？Apple の複数の製品の脆弱性をわかりやすく解説

ひとことでApple の各OSで、アプリがOSの中心部の権限でプログラムを動かせる弱点
深刻度7.8 重要CVSS v3.1
まずやることiPhone と iPad を 13.5.1 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2020-9859
製品	Apple Multiple Products
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-415（メモリの二重解放）

何が起きた

Apple の iOS、iPadOS、macOS、watchOS、tvOS のカーネル（OS の中心部分）に、メモリーの扱いの誤りが見つかりました。Apple によると、アプリがカーネルの権限で任意のコード（攻撃者が好きに選べるプログラム）を実行できるおそれがあります。NVD の評価では、端末の上で、一般利用者程度の権限を持つ攻撃者が悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple の iPhone、iPad、Mac、Apple Watch、Apple TV を使っている人が対象です。Apple によると、iOS 13.5.1 と iPadOS 13.5.1、macOS Catalina 10.15.5 Supplemental Update と macOS High Sierra 向けの Security Update 2020-003、tvOS 13.4.6、watchOS 6.2.6 で修正されました。

何をすればいい

使っている端末の OS が、上の修正版以降に更新されているか確認してください。Apple の公式の案内を確認し、ソフトウェア・アップデートを適用してください。

やることチェックリスト

iPhone と iPad を 13.5.1 以降に更新する
Mac に 10.15.5 Supplemental Update を入れる
Apple Watch を watchOS 6.2.6 以降にする

用語メモ

カーネル用語集で見る: OS の中心部分で、端末のすべての動きを管理するいちばん強い権限を持つ部分です。
任意のコード用語集で見る: 攻撃者が好きに選んで実行させるプログラムのことです。
ソフトウェア・アップデート用語集で見る: OS やアプリを新しい版にして、問題を直す仕組みです。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Code Execution Vulnerability

概要

Apple iOS, iPadOS, macOS, watchOS, and tvOS contain an unspecified vulnerability that may allow an application to execute code with kernel privileges.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Apple の複数の製品の脆弱性（CVE-2020-9859）