要点
- iMessage のグループチャットに、遠隔の攻撃者が入り込み、会話を受け取れる欠陥があった。
- 近くにいる攻撃者が、利用者の操作なしに Bluetooth でペアリングできてしまう欠陥も、同時に直された。
- Apple の発表には、悪用されたという記載はない。iOS・iPadOS 27.2.1 への更新で直る。
何が起きたか
Apple は 2026 年 11 月 9 日（米国時間）、iOS 27.2.1 と iPadOS 27.2.1 を公開した。Apple の公式情報には、9 件の欠陥の修正が載っている。
注目は Messages（メッセージ）アプリの 2 件だ。
- CVE-2026-113961: 遠隔の攻撃者が iMessage のグループチャットに参加し、その会話を受け取れた。権限の確認が足りなかったためと説明されている。
- CVE-2026-113960: グループに追加された人が、参加する前に送られた発言を読めた。Apple は問題のあるコードを取り除いて直した。
どちらも、報告したのは匿名の研究者とされる。
もう一つの柱が Bluetooth まわりだ。Apple によると、悪意ある Bluetooth 機器が、利用者の操作なしにペアリングできる恐れがあった。ペアリングの暗証番号は、何度も試せないよう回数が制限されている。その制限をすり抜けられる欠陥は 3 件ある。うち 2 件は Bluetooth の届く範囲にいる攻撃者、1 件は同じネットワーク内の攻撃者が対象だ。ほかに、Bluetooth でメモリが壊される欠陥も直された。
Apple の発表は、これらが実際に悪用されたかどうかに触れていない。攻撃の細かい条件も書かれていない。そのため、被害が出ているかは分からない。
日本の利用者への影響
対象は iPhone 11 以降と、比較的新しい iPad だ。日本の組織や利用者への影響については、Apple の発表に記載がなく、分からない。
注意したいのは、古い機種だ。Bluetooth と AirPlay の修正は、同日の 9 件の更新すべてに入っている。
今すぐやること
- 「設定」→「一般」→「ソフトウェアアップデート」で、iOS・iPadOS を 27.2.1 にする。自動更新が有効かも確かめる。
- 古い iPhone を使う人は、出ている更新を入れる。iMessage の修正が入っていない可能性があるため、重要な話はグループチャットに書かない、という割り切りも考える。
- 自分が入っているグループを見直す。メンバー一覧に知らない人や、覚えのない名前がないかを確かめる。見つけたら、そのグループを抜けるか、作り直す。
- 機密を含む会話は、更新前に送った分も含め、グループに追加した人に見えうると考える。重要な情報は別の手段で送る。
- 使っていない Bluetooth 機器のペアリングを、一覧から消しておく。Apple は、更新できない端末のための回避策を示していない。
背景
Apple は CVE-2026-113961 を、認可の問題を検証の改善で直したものと説明している。CVE-2026-113960 については、問題のあるコードを削除したとだけ書かれている。グループチャットは参加者が多く、メンバー管理が複雑になりやすい。
Bluetooth のペアリングも、近くの機器と手軽につなぐ便利さと、不正な接続を防ぐ難しさがぶつかる場所だ。暗証番号を試せる回数の制限は、その大事な守りの一つで、今回はそれをすり抜けられる欠陥が見つかった。
Apple は同時に、圧縮ライブラリ brotli のメモリ破壊の欠陥（CVE-2026-111497）も直した。
技術者向けの詳細
- 修正版: iOS 27.2.1 / iPadOS 27.2.1（2026-11-09 公開）
- 対象: iPhone 11 以降、iPad Pro 12.9 インチ（第 4 世代）以降、iPad Pro 11 インチ（第 2 世代）以降、iPad Air（第 4 世代）以降、iPad（第 9 世代）以降、iPad mini（第 6 世代）以降
- Messages: CVE-2026-113961（遠隔からのグループ参加・受信）、CVE-2026-113960（参加前のメッセージの閲覧）
- CoreUtils: CVE-2026-113965（悪意ある機器が操作なしでペアリング）、CVE-2026-113964（Bluetooth 範囲内から、ペアリング暗証番号の試行制限を回避し、操作なしでペアリング）
- AirPlay: CVE-2026-113968（Bluetooth 範囲内から、ペアリング暗証番号の試行制限を回避）
- rapportd: CVE-2026-113969（同一ネットワークから、AirPlay のペアリング暗証番号の試行制限を回避）
- Bluetooth: CVE-2026-113970（use-after-free によるメモリ破壊）
- App Intents: CVE-2026-113963（アプリが機微なデータに届く）
- brotli: CVE-2026-111497（境界外書き込み）
- 同日に iOS 18.7.12・watchOS 26.6.1 などが出ているが、iMessage の 2 件の修正は記載されていない。詳しくは iOS 18.7.12 の発表 と watchOS 26.6.1 の発表 を参照。
- Apple の発表に、悪用の有無の記載はない。
