• ひとことでApple 製品の WebKit で、メモリを守るしくみを回避されるおそれがある弱点です。
  • 深刻度5.5 警告CVSS v3.1
  • まずやることiOS・iPadOS を 17.5 以降にする（古い機種は 16.7.8 以降）

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-27834
製品Apple Multiple Products
深刻度（CVSS）5.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
KEVへの追加日2026-11-04
米国政府機関の対応期限2026-11-18
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-287（認証の不備）

何が起きた

Apple の iPhone、iPad、Mac、Apple TV、Apple Watch や Safari に使われている WebKit（Web ページを表示するための部品）に弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。Apple によると、メモリを好きなように読み書きできる力をすでに持っている攻撃者が、Pointer Authentication（メモリの中の場所を示す情報が書き換えられていないかを確かめる守りのしくみ）を回避できるおそれがあります。Apple は確かめる処理を改善して修正しました。NVD の攻撃の条件は、機器の中からの攻撃で、低い権限が必要、利用者の操作は不要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がメモリを読み書きできる力を持つ → 2. その力を使い、修正前の WebKit の弱点を利用する → 3. Pointer Authentication の守りを回避する1攻撃者がメモリを読み書きできる力を持つ2その力を使い、修正前の WebKit の弱点を利用する3Pointer Authentication の守りを回避する攻撃の流れ: 1. 攻撃者がメモリを読み書きできる力を持つ → 2. その力を使い、修正前の WebKit の弱点を利用する → 3. Pointer Authentication の守りを回避する1攻撃者がメモリを読み書きできる力を持つ2その力を使い、修正前の WebKit の弱点を利用する3Pointer Authentication の守りを回避する攻撃の流れ: 1. 攻撃者がメモリを読み書きできる力を持つ → 2. その力を使い、修正前の WebKit の弱点を利用する → 3. Pointer Authentication の守りを回避する1攻撃者がメモリを読み書きできる力を持つ2その力を使い、修正前の WebKit の弱点を利用する3Pointer Authentication の守りを回避する

誰が影響を受ける

修正版より前の iOS、iPadOS、macOS、tvOS、watchOS、Safari を使っている人が対象です。CVE の記録によると、影響を受けるのは Safari 17.5 より前、iOS と iPadOS の 16.7.8 より前と 17.5 より前、macOS 14.5 より前、tvOS 17.5 より前、watchOS 10.5 より前の版です。修正は 2024 年 5 月に出ました。修正版以降になっていれば、この弱点の修正を受けています。Apple の修正版の案内に載っていない古い機種については、このデータからは不明です。

何をすればいい

Apple の公式の案内を確認し、使っている機器を修正版以降に更新してください。iPhone XS 以降などは iOS・iPadOS 17.5 以降、iPhone 8、iPhone 8 Plus、iPhone X、iPad（第5世代）、iPad Pro 9.7 インチ、iPad Pro 12.9 インチ（第1世代）は iOS・iPadOS 16.7.8 以降にします。Mac は macOS Sonoma 14.5 以降、macOS Monterey と macOS Ventura は Safari 17.5 以降です。Apple TV は tvOS 17.5 以降、Apple Watch は watchOS 10.5 以降にします。

やることチェックリスト

  • iOS・iPadOS を 17.5 以降にする（古い機種は 16.7.8 以降）
  • Mac を 14.5 以降にする（Monterey・Ventura は Safari 17.5以降）
  • tvOS を 17.5 以降、watchOS を 10.5 以降にする

用語メモ

WebKit 用語集で見る
Web ページを読み込んで画面に表示するための部品です。Safari などで使われています。
Pointer Authentication
メモリの中の場所を示す情報（ポインタ）が書き換えられていないかを確かめる、守りのしくみです。
メモリ 用語集で見る
プログラムが動いている間、データを一時的に置いておく場所です。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Improper Authentication Vulnerability

概要

Apple iOS, iPadOS, macOS, Safari, tvOS and watchOS 10.5 contain an improper authentication vulnerability which could allow an attacker with arbitrary read and write capability to bypass pointer authentication.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る