Apple Multiple Products の範囲外書き込みの脆弱性（CVE-2025-24201）

何が起きた

Apple の iOS、iPadOS、macOS、Safari などで使われる WebKit（ウェブページを表示する部品）に、決められた範囲の外にデータを書き込んでしまう弱点（範囲外書き込み）が見つかりました。悪意のあるウェブの中身によって、ウェブの中身を閉じ込めておく仕組み（サンドボックス）から抜け出される可能性があります。NVD の評価では、ログイン不要の攻撃者が離れた場所から悪用できます。Apple は、iOS 17.2 より前の iOS で、特定の人を狙った非常に高度な攻撃に悪用された可能性があるという報告を把握しているとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Safari 18.3.1、iOS 15.8.4 と iPadOS 15.8.4、iOS 16.7.11 と iPadOS 16.7.11、iOS 18.3.2 と iPadOS 18.3.2、iPadOS 17.7.6、macOS Sequoia 15.3.2、visionOS 2.3.2、watchOS 11.4 より前の版を使っている人が対象です。CISA の KEV では、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

iPhone や iPad、Mac などのソフトウェア・アップデートで、修正版（Safari 18.3.1、iOS 18.3.2、iPadOS 18.3.2、macOS Sequoia 15.3.2、visionOS 2.3.2、watchOS 11.4 など）以降に更新されているか確認してください。古い機種では、iOS 15.8.4、iOS 16.7.11、iPadOS 17.7.6 などが修正版です。あわせて、Apple の公式の案内を確認してください。

やることチェックリスト

• iPhone を iOS 18.3.2 以降に更新する
• Mac を macOS Sequoia 15.3.2 以降に更新する
• Safari を 18.3.1 以降に更新する

用語メモ

WebKit

Safari などがウェブページを表示するために使っている部品です。

サンドボックス

プログラムを閉じ込めて、ほかの部分に手を出せないようにする安全のための仕組みです。

範囲外書き込み

プログラムが、決められたメモリの範囲の外にデータを書き込んでしまう不具合です。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。