CVE-2025-24085とは？Apple の複数の製品の脆弱性をわかりやすく解説

ひとことでiPhone や Mac などで、悪意あるアプリに権限を引き上げられる弱点
深刻度10.0 緊急CVSS v3.1
まずやることiPhone や iPad を iOS 18.3 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2025-24085
製品	Apple Multiple Products
深刻度（CVSS）	10.0 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`
KEVへの追加日	2025-01-29
米国政府機関の対応期限	2025-02-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416（解放済みメモリの使用）

何が起きた

Apple の iOS、macOS などの CoreMedia という部品に、解放したメモリを使い続けてしまう弱点（解放後使用）が見つかりました。悪意のあるアプリに、権限を引き上げられるおそれがあります。Apple は、iOS 17.2 より前の iOS に対して悪用された可能性があるという報告を把握しているとしています。CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple TV、Apple Vision Pro、Apple Watch を使っている人が対象です。修正は iOS 18.3 と iPadOS 18.3、iPadOS 17.7.6、macOS Sequoia 15.3、macOS Sonoma 14.7.5、macOS Ventura 13.7.5、tvOS 18.3、visionOS 2.3、watchOS 11.3 で入りました。

何をすればいい

お使いの機器を、上に挙げた修正の入ったバージョン以降に更新してください。iPhone や iPad は設定アプリの「ソフトウェアアップデート」から更新できます。Apple のセキュリティアップデートのページなど、公式の案内も確認してください。

やることチェックリスト

iPhone や iPad を iOS 18.3 以降に更新する
Mac を macOS Sequoia 15.3 以降に更新する
Apple Watch や Apple TV も更新する

用語メモ

解放後使用用語集で見る: 使い終わって返したメモリを、誤ってもう一度使ってしまう不具合です。攻撃に利用されることがあります。
権限用語集で見る: 機器の上で、何をしてよいかの許可の範囲です。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Use-After-Free Vulnerability

概要

Apple iOS, macOS, and other Apple products contain a user-after-free vulnerability that could allow a malicious application to elevate privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Apple の複数の製品のuse-after-freeの脆弱性（CVE-2025-24085）