要点
- 2024年5月に直った iPhone・iPad・Mac・Safari の欠陥 CVE-2024-27834 を、米国の CISA が「実際の攻撃に使われた欠陥」のリストに加えた。
- 同じ日に、セキュリティ会社 Sekoia が、古い iOS の iPhone をねらって Web サイトを仕掛けた攻撃で、この欠陥が使われていたと報告した。
- 2年以上前の更新で直っているため、OS を新しい版にしていれば当たらない。古い版のまま使っている端末が危ない。
何が起きたか
CISA（米国のサイバーセキュリティ・社会基盤安全保障庁）は2026年11月4日（米国時間）、CVE-2024-27834 を KEV に加えた。KEV は、実際の攻撃に使われたと CISA が確かめた欠陥の一覧だ。米国の連邦政府機関は、11月18日までに対策を求められている。
この欠陥は、Safari などの中で Web ページを表示する部品「WebKit」にある。Apple の説明では、端末のメモリーを自由に読み書きできるようになった攻撃者が「Pointer Authentication」を回り避けられる、というものだ。Pointer Authentication は、乗っ取られにくくするために Apple の端末が使っている守りの仕組みである。
つまり、この欠陥だけでは端末は乗っ取られない。別の欠陥で入り口を作り、この欠陥で守りの仕組みを外す、という組み合わせで使われる種類の欠陥だ。2024年3月のハッキング大会 Pwn2Own で研究者の Manfred Paul 氏が報告し、Apple は2024年5月13日（日本時間14日）の更新で直した。
CISA は、どの攻撃で使われたかを示していない。ただ、同じ11月4日に Sekoia が公開した報告に、この欠陥を使った攻撃が書かれている。Sekoia によると、ロシアの情報機関 SVR とつながるとされる攻撃集団 APT29 が、ふつうの Web サイトを書き換えたり、そっくりの偽サイトを作ったりして、訪れた iPhone や Android の端末をねらった。Sekoia は APT29 の仕業だと「中程度から高い確度」で見ている。
この攻撃で iOS 16.7 をねらう仕組みは、2025年に見つかった別の欠陥 CVE-2025-43529 で入り口を作り、CVE-2024-27834 で守りを外していた。最後に盗むのは、iPhone の Cookie（サイトにログインした状態を覚えておくデータ）だ。Sekoia は、この仕組みは iOS 16.0〜17.4 でも動くはずだと書いている。
さらに、アクセス解析のサービス Plerdy の計測用スクリプトが2026年8月27日〜9月3日に書き換えられ、それを使う多くのサイトの訪問者も攻撃の入り口にさらされたという。
日本の利用者への影響
iPhone・iPad・Mac は日本で広く使われている。ただ、Sekoia が挙げたねらわれた国は、米国・ウクライナ・チェコ・ブルガリアなど。日本の組織や利用者が被害を受けたかどうかは、Sekoia の報告からは分からない。
CVE-2024-27834 そのものが当たるのは、2024年5月の更新より古い OS の端末だ。ただ、Sekoia が報告した攻撃全体では、別の欠陥を組み合わせて iOS 18.5 の iPhone や、Android の Chrome もねらわれていた。2024年5月より新しい版でも、最新にしていなければ安心はできない。更新を止めたままの iPhone や、会社で配ったまま放っておいた iPad などが当てはまりうる。Web サイトを見ただけで攻撃が始まる仕組みなので、どんなサイトを見るかに気をつけるだけでは防げない。
今すぐやること
- iPhone・iPad で「設定」→「一般」→「情報」を開き、iOS の版を見る。iOS 17.5 より古ければ、「設定」→「一般」→「ソフトウェアアップデート」で最新にする。
- iPhone 8・iPhone X のように iOS 16 までしか入らない端末は、iOS 16 の最新版（少なくとも 16.7.8 以降）にする。
- Mac は、Apple メニューの「この Mac について」で版を見る。macOS Monterey や Ventura なら、最新の版にするか、少なくとも Safari を 17.5 以降にする。
- 会社で端末を管理している人は、古い版のまま残っている iPhone・iPad・Mac がないかを一覧で確かめる。
- 古い版で使っていた端末は、更新したうえで、大事なサイトからいったんログアウトし、パスワードを変えておくと安心だ。
背景
欠陥が直ってから時間がたったあとに攻撃に使われるのは、珍しくない。直った欠陥は「n-day」とも呼ばれる。修正が出ても、更新しない端末が残るからだ。Sekoia も、攻撃に使われた欠陥はすべて修正ずみで、OS を最新にしていれば守られると書いている。
2026年は、古い iOS をねらう攻撃の道具がほかにも報告された。3月には Google と iVerify が、iOS 13〜17.2.1 をねらう「Coruna」を公表した。Sekoia は、今回の攻撃で使われた3つの仕組みのうち、iOS 18.5 向けの1つを「DarkSword」と見ている。iOS 16.7 向けの仕組みも、その一部の欠陥を使っていた。DarkSword は、商用の監視ソフトを作る会社が作ったものと疑われている道具だ。国のために動く攻撃集団が、出回っている攻撃の道具を使い回している形だ。
技術者向けの詳細
- CVE: CVE-2024-27834（WebKit、Pointer Authentication の回避）。CVSS 3.1 は 5.5（NVD）。WebKit Bugzilla 272750
- KEV 追加: 2026-11-04、対応期限: 2026-11-18。ランサムウェアでの使用は「Unknown」
- 修正版（いずれも2024-05-13公開）:
- iOS / iPadOS 17.5、iOS / iPadOS 16.7.8
- macOS Sonoma 14.5
- Safari 17.5（macOS Monterey・Ventura 向け）
- watchOS 10.5、tvOS 17.5
- Linux の WebKitGTK・WPE WebKit は 2.44.2 で修正（NVD）
- Sekoia の報告による攻撃の内訳:
- Class A: iOS 16.7。CVE-2025-43529 で入り口を作り、CVE-2024-27834 で PAC を回避。Cookie を盗む
- Class B: iOS 18.5。DarkSword の5つの欠陥（CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520）。メッセージ・キーチェーン・写真などを丸ごと盗む
- Class C: Android の Chrome 139〜145（143を除く）。CVE-2026-3910、CVE-2025-27038
- どの攻撃も、端末に住み着く仕組み（永続化）は持たないという
- 送り先の通信先・偽ドメインなどの侵入の跡は、Sekoia の報告に載っている。プロキシや DNS のログと照らし合わせるとよい
- Linux で WebKitGTK を使っているかは、たとえば次で確かめられる
# Debian / Ubuntu
dpkg -l | grep -i webkit2gtk
# Fedora / RHEL
rpm -qa | grep -i webkitgtk
