• ひとことでiPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることiPhoneやiPadを26.7.1以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-86950
製品Apple Multiple Products
深刻度（CVSS）8.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2026-09-29
米国政府機関の対応期限2026-10-13
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS、iPadOS、macOS の CoreGraphics（画像を描く仕組み）に、メモリの決められた範囲の外に書き込んでしまう弱点が見つかり、実際に悪用が確認されています。細工したファイルを処理すると、任意のコード（攻撃者が選んだプログラム）を実行されるおそれがあります。攻撃には、利用者がファイルを開くなどの操作が必要です。Apple は、iOS 27 より前の iOS で、特定の人を狙った非常に高度な攻撃に悪用された可能性があるという報告を把握しているとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したファイルを用意する → 2. 利用者がそのファイルを開いて処理する → 3. 任意のコードを実行される1攻撃者が細工したファイルを用意する2利用者がそのファイルを開いて処理する3任意のコードを実行される攻撃の流れ: 1. 攻撃者が細工したファイルを用意する → 2. 利用者がそのファイルを開いて処理する → 3. 任意のコードを実行される1攻撃者が細工したファイルを用意する2利用者がそのファイルを開いて処理する3任意のコードを実行される攻撃の流れ: 1. 攻撃者が細工したファイルを用意する → 2. 利用者がそのファイルを開いて処理する → 3. 任意のコードを実行される1攻撃者が細工したファイルを用意する2利用者がそのファイルを開いて処理する3任意のコードを実行される

誰が影響を受ける

iPhone や iPad、Mac を使っている人が影響を受けます。修正版は、iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1 です。

何をすればいい

設定のソフトウェアアップデートから、iOS 26.7.1、iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1 以降に更新されているか確認してください。知らない相手から届いたファイルは開かないようにしましょう。

やることチェックリスト

  • iPhoneやiPadを26.7.1以降に更新する
  • MacをSequoia 15.8.1かTahoe 26.7.1以降にする
  • 知らない相手のファイルを開かない

用語メモ

CoreGraphics
Apple の OS で、画像や図形を画面に描くための仕組みです。
任意のコード 用語集で見る
攻撃者が好きに選べるプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43510）7.8 重要CVSS v3.1Apple の iPhone や Mac などの OS で、悪意のあるアプリがメモリを乱せる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Out-of-Bounds Write Vulnerability

概要

Apple iOS, macOS, and iPadOS contain an out-of-bounds write vulnerability in CoreGraphics that may lead to arbitrary code execution.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る