要点
- iPhone で、あるアプリが別のアプリのファイルを読める手法が、GitHub で公開された。
- 暗号資産ウォレットの鍵やログイン情報を盗まれるおそれがあると、Binance が警告している。
- Apple の最新の更新に、この件の修正は載っていない。ただし、Binance と研究者は、悪用や被害を報告していない。
何が起きたか
別のアプリのデータに届く、サンドボックス破りの手法が公開された。
公開したのは、forcequit（forcequitOS）を名乗る研究者だ。コードの名前は worse_query。GitHub の説明によると、対象は iOS 26.0 から 26.7.2 と、iOS 27.2 である。作者は「開発者向けの概念実証で、それ自体では役に立たない」と書いている。使うには、アプリ側が「App Group」という共有領域を持つ必要がある。
この手法を使った道具もすでにある。WQ Files は、ほかのアプリのデータを一覧し、編集や削除までできるファイル管理アプリだ。App Store の外から入れる方式（サイドロード）で配られている。The Hacker News によると、WQ Files は脱獄（jailbreak）やカーネルの攻撃なしで、ほかのアプリのデータに届く。
The Hacker News によると、Binance は次のように呼びかけた。
- 出どころの怪しい方法で入れたアプリを消す。
- iOS とアプリを更新する。
- 被害が疑われるなら、きれいな端末で作った新しいウォレットに資金を移し、ログイン中の接続をすべて切る。
同じ報道によると、Binance は危ないウォレットアプリの名前を挙げていない。Binance の発表そのものは、今回は直接確かめられていない。
修正はどうか。Apple は 2026 年 11 月 9 日に iOS 27.2.1 と 26.7.3 を出した。公開されたセキュリティ情報には、サンドボックスの問題は載っていない。ただし Apple は、調べ終えて修正が出るまで欠陥を公表しない方針だ。載っていないことは、直っていないことの証明でも、直ったことの証明でもない。
The Hacker News によれば、Binance も研究者も、この手法による攻撃や盗難を報告していない。App Store のアプリが同じ手法を使えるかどうかも、確かめられていない。
日本の利用者への影響
日本に限った影響の調査は、今回の資料にはない。iPhone は日本で広く使われ、対象の版も新しい。ただ、現時点で必要な条件は、悪意のあるアプリを端末に入れさせることだ。App Store だけを使う人には、すぐ当たる話とは言えない。
今すぐやること
- 出どころの分からないアプリや、App Store 以外から入れたアプリがないか、確かめる。あれば消す。
- iOS を最新にする。今回の件が直っている保証はないが、ほかの欠陥は直る。
- 暗号資産のウォレットを使う人は、鍵（シードフレーズ）を端末に置きっぱなしにしない。大きな額は、専用の機器（ハードウェアウォレット）に移すことを考える。
- 怪しいアプリを入れた覚えがあるなら、Binance の勧めに従い、きれいな端末で新しいウォレットを作って資金を移す。ログイン中の接続も切る。
- Apple の更新情報と、研究者・Binance の続報を見る。
背景
今回は、研究者の言う「手法」が先に公開された点が特徴だ。研究者は、Apple の返事が遅く、第三者が勝手に使い始めたので公開が早まったと話している（The Hacker News による）。公開のあとに悪用が広がる例は多い。ただ、今回それが起きるかは分からない。
技術者向けの詳細
- 対象（GitHub の README）: iOS 26.0〜26.7.2、iOS 27.2。
- WQ Files v0.7 の試験済み版: iOS 27.0.1、27.2、26.7.1。iOS 26 対応は暫定とされる。
- 前提条件: App Group の entitlement を持つアプリ。AltStore や SideStore の署名では自動で付く。
- iOS 27.2.1（2026-11-09）の修正は 9 件の CVE。AirPlay、App Intents、Bluetooth、brotli、CoreUtils、Messages、rapportd。サンドボックスの項目はない。
- 26.7.3 の情報にも、worse_query に当たる記載はない。
- CVE は README に記載なし。Apple への連絡の経緯は README にない。
- 自分の環境の確認: 端末の「設定」で、サイドロードや手動署名のアプリがないか見る。企業の端末は MDM でアプリ一覧を確認する。
