• ひとことでApple 製品の WebKit で、細工したページによりサンドボックスを抜けられる弱点です。
  • 深刻度10.0 緊急CVSS v3.1
  • まずやることiPhone を iOS 18.3.2 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-24201
製品Apple Multiple Products
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2025-03-13
米国政府機関の対応期限2025-04-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS、iPadOS、macOS、Safari などで使われる WebKit（ウェブページを表示する部品）に、決められた範囲の外にデータを書き込んでしまう弱点（範囲外書き込み）が見つかりました。悪意のあるウェブの中身によって、ウェブの中身を閉じ込めておく仕組み（サンドボックス）から抜け出される可能性があります。NVD の評価では、ログイン不要の攻撃者が離れた場所から悪用できます。Apple は、iOS 17.2 より前の iOS で、特定の人を狙った非常に高度な攻撃に悪用された可能性があるという報告を把握しているとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が悪意のあるウェブの中身を用意する → 2. 利用者の端末の WebKit がそれを読み込む → 3. 範囲外書き込みが起きる → 4. サンドボックスの外に抜け出される1攻撃者が悪意のあるウェブの中身を用意する2利用者の端末の WebKit がそれを読み込む3範囲外書き込みが起きる4サンドボックスの外に抜け出される攻撃の流れ: 1. 攻撃者が悪意のあるウェブの中身を用意する → 2. 利用者の端末の WebKit がそれを読み込む → 3. 範囲外書き込みが起きる → 4. サンドボックスの外に抜け出される1攻撃者が悪意のあるウェブの中身を用意する2利用者の端末の WebKit がそれを読み込む3範囲外書き込みが起きる4サンドボックスの外に抜け出される攻撃の流れ: 1. 攻撃者が悪意のあるウェブの中身を用意する → 2. 利用者の端末の WebKit がそれを読み込む → 3. 範囲外書き込みが起きる → 4. サンドボックスの外に抜け出される1攻撃者が悪意のあるウェブの中身を用意する2利用者の端末の WebKit がそれを読み込む3範囲外書き込みが起きる4サンドボックスの外に抜け出される

誰が影響を受ける

Safari 18.3.1、iOS 15.8.4 と iPadOS 15.8.4、iOS 16.7.11 と iPadOS 16.7.11、iOS 18.3.2 と iPadOS 18.3.2、iPadOS 17.7.6、macOS Sequoia 15.3.2、visionOS 2.3.2、watchOS 11.4 より前の版を使っている人が対象です。CISA の KEV では、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

iPhone や iPad、Mac などのソフトウェア・アップデートで、修正版（Safari 18.3.1、iOS 18.3.2、iPadOS 18.3.2、macOS Sequoia 15.3.2、visionOS 2.3.2、watchOS 11.4 など）以降に更新されているか確認してください。古い機種では、iOS 15.8.4、iOS 16.7.11、iPadOS 17.7.6 などが修正版です。あわせて、Apple の公式の案内を確認してください。

やることチェックリスト

  • iPhone を iOS 18.3.2 以降に更新する
  • Mac を macOS Sequoia 15.3.2 以降に更新する
  • Safari を 18.3.1 以降に更新する

用語メモ

WebKit 用語集で見る
Safari などがウェブページを表示するために使っている部品です。
サンドボックス 用語集で見る
プログラムを閉じ込めて、ほかの部分に手を出せないようにする安全のための仕組みです。
範囲外書き込み 用語集で見る
プログラムが、決められたメモリの範囲の外にデータを書き込んでしまう不具合です。
KEV 用語集で見る
米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products WebKit Out-of-Bounds Write Vulnerability

概要

Apple iOS, iPadOS, macOS, and other Apple products contain an out-of-bounds write vulnerability in WebKit that may allow maliciously crafted web content to break out of Web Content sandbox. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る