Apple Multiple Products のuse-after-freeの脆弱性（CVE-2025-43529）

何が起きた

Apple の製品でウェブページを表示する部品 WebKit に、使い終わったメモリをまた使ってしまう（解放後使用）という弱点が見つかりました。Apple によると、細工したウェブのコンテンツを読み込むとメモリが壊れるおそれがあり、NVD の説明では、任意の（攻撃者が好きに選べる）プログラムを実行されるおそれがあるとされています。ネットワーク経由で悪用でき、ログインは不要ですが、利用者がページを開くなどの操作が必要です。Apple は、iOS 26 より前の iOS で、特定の人を狙った非常に高度な攻撃に悪用された可能性があるという報告を把握しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple TV、Apple Watch、Apple Vision Pro と Safari の利用者が対象です。修正版より前の Safari、iOS と iPadOS、macOS Tahoe、tvOS、visionOS、watchOS が影響を受けます。WebKit を使ってウェブページを表示する Apple 以外の製品にも影響する可能性があります。

何をすればいい

Apple の公式の案内を確認し、Safari 26.2、iOS 18.7.3 と iPadOS 18.7.3、iOS 26.2 と iPadOS 26.2、macOS Tahoe 26.2、tvOS 26.2、visionOS 26.2、watchOS 26.2 以降に更新されているか確認してください。同じ報告をきっかけに、Chrome に関わる CVE-2025-14174 も公表されているので、Chrome を使っている場合は Chrome も更新してください。

やることチェックリスト

• iPhone や iPad を iOS 26.2 か 18.7.3 以降にする
• Mac を macOS Tahoe 26.2 以降に更新する
• Safari を 26.2 以降に更新する

用語メモ

WebKit

Safari などでウェブページを表示するための部品です。Apple の製品の多くで使われています。

解放後使用

使い終わって返したメモリを、プログラムが誤ってまた使ってしまう不具合です。攻撃者に悪用されると、プログラムを乗っ取られることがあります。