iOS 18.7.7およびiPadOS 18.7.7のセキュリティコンテンツについて

iOS 18.7.7およびiPadOS 18.7.7のセキュリティコンテンツについて説明します。

Appleセキュリティアップデートについて

Appleでは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Appleのセキュリティリリース」ページに一覧形式でまとめています。

Appleのセキュリティ関連の文書では、可能な場合、脆弱性のCVE-ID に言及しています。

セキュリティについて詳しくは、Apple製品のセキュリティに関するページを参照してください。

iOS 18.7.7およびiPadOS 18.7.7

2026年3月24日リリース

注：2026年4月1日に、iOS 18.7.7がより多くのデバイスで利用可能になったことに伴い、自動アップデートを有効にしているユーザーは、「DarkSword」というウェブ攻撃に対する重要なセキュリティ保護を自動的に受けられるようになりました。DarkSwordによる攻撃に関する修正は、2025年に初めて提供されました。

802.1X

対象：iPhone XR、iPhone XS、iPhone XS Max、iPhone 11（全モデル）、iPhone SE（第2世代）、iPhone 12（全モデル）、iPhone 13（全モデル）、iPhone SE（第3世代）、iPhone 14（全モデル）、iPhone 15（全モデル）、iPhone 16（全モデル）、iPhone 16e、iPad mini（第5世代～A17 Pro）、iPad（第7世代～A16）、iPad Air（第3～第5世代）、iPad Air 11インチ（M2～M3）、iPad Air 13インチ（M2～M3）、iPad Pro 11インチ（第1世代～M4）、iPad Pro 12.9インチ（第3～第6世代）、iPad Pro 13インチ（M4）

影響：ネットワーク上で特権的な地位を悪用した攻撃者が、ネットワークトラフィックを傍受できる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2026-28865：Héloïse Gollier氏およびMathy Vanhoef氏（KU Leuven）

AppleKeyStore

影響：アプリがシステムを予期せず終了させる可能性がある。

説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。

CVE-2026-20637：Johnny Franks氏（zeroxjf）、匿名の研究者

Audio

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。

CVE-2026-28879：GoogleのJustin Cohen氏

Clipboard

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：シンボリックリンクの検証を改善することで、この問題に対処しました。

CVE-2026-28866：Cristian Dinca氏（icmd.tech）

CoreMedia

影響：悪意を持って作成されたメディアファイルでオーディオストリームを処理すると、プロセスが終了する可能性がある。

説明：配列境界チェック機能を改善することで、領域外アクセスの脆弱性に対処しました。

CVE-2026-20690：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

CoreUtils

影響：ネットワーク上で特権的な地位を持つユーザから、サービス運用妨害を受ける可能性がある。

説明：入力検証を強化し、ヌルポインタ逆参照に対処しました。

CVE-2026-28886：Etienne Charron氏（Renault）およびVictoria Martini氏（Renault）

Crash Reporter

影響：アプリが、ユーザがインストールしたアプリを特定できる可能性がある。

説明：機微なデータを削除することで、プライバシーの問題に対処しました。

CVE-2026-28878：IES Red TeamのZhongcheng Li氏

curl

影響：curlに脆弱性が存在し、誤った接続を通じて機密情報が意図せず送信される可能性がある。

説明：これはオープンソースコードにおける脆弱性であり、この脆弱性の影響を受けるプロジェクトにはAppleソフトウェアも含まれます。CVE-IDはサードパーティによって割り当てられました。この問題やCVE-IDについて詳しくは、cve.orgを参照してください。

CVE-2025-14524

DeviceLink

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：ディレクトリパスの処理における解析不備の脆弱性に、パス検証を強化することで対処しました。

CVE-2026-28876：Nosebeard LabsのAndreas Jaegersberger氏およびRo Achterberg氏

Focus

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：データの墨消しを改善することでログ入力の問題に対処しました。

CVE-2026-20668：Kirin氏（@Pwnrin）

iCloud

影響：アプリが、ユーザがインストールしたアプリを特定できる可能性がある。

説明：制限を強化し、アクセス権の問題に対処しました。

CVE-2026-28880：IES Red TeamのZhongcheng Li氏

ImageIO

影響：悪意を持って作成されたファイルを処理すると、アプリが予期せず終了する可能性がある。

CVE-2025-64505

iTunes Store

影響：iOSデバイスに物理的にアクセスできるユーザが、アクティベーションロックを回避できる可能性がある。

説明：検証を強化して、パスの処理における脆弱性に対処しました。

CVE-2025-43534：XiguaSecのiG0x72氏およびJJ氏、Lehan Dilusha Jayasinghe氏

Kernel

影響：アプリがカーネルメモリを漏洩させる可能性がある。

説明：データの墨消しを改善することでログ入力の問題に対処しました。

CVE-2026-28868：이동하氏（BoB 0xB6のLee Dong Ha氏）

Kernel

影響：アプリが重要なカーネル状態を漏洩させる可能性がある。

説明：認証を強化することで、この問題に対処しました。

CVE-2026-28867：Jian Lee氏（@speedyfriend433）

Kernel

影響：アプリにシステムを突然終了されたり、カーネルメモリに書き込まれる可能性がある。

説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。

CVE-2026-20687：Johnny Franks氏（@zeroxjf）

mDNSResponder

影響：アプリが重要なカーネル状態を漏洩させる可能性がある。

説明：認証を強化することで、この問題に対処しました。

CVE-2026-28867：Jian Lee氏（@speedyfriend433）

Security

影響：ローカルの攻撃者が、ユーザのキーチェーン項目にアクセスできる可能性がある。

説明：この問題は、アクセス権のチェック機能を強化することで解決されました。

CVE-2026-28864：Alex Radocea氏

UIFoundation

影響：アプリからサービス運用妨害を受ける可能性がある。

説明：入力検証を強化することで、スタックオーバーフローに対処しました。

CVE-2026-28852：Caspian Tarafdar氏

Vision

影響：悪意を持って作成されたファイルを解析すると、アプリが予期せず終了する可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2026-20657：Andrew Becker氏

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、コンテンツセキュリティポリシーの適用を回避される場合がある。

説明：ステート管理を改善し、この問題に対処しました。

WebKit Bugzilla：304951

CVE-2026-20665：webb

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、同一生成元ポリシーを回避される可能性がある。

説明：入力検証を強化することで、Navigation APIのクロスオリジンの問題に対処しました。

WebKit Bugzilla：306050

CVE-2026-20643：Thomas Espach

WebKit

影響：リモートの攻撃者が、プライベートリレーが有効な状態で、漏洩したDNSクエリを表示できる可能性がある。

説明：ステート管理を改善し、ロジックの問題に対処しました。

WebKit Bugzilla：295943

CVE-2025-43376：grepular.comのMike Cardwell氏、Bob Lord氏

WebKit

影響：悪意のあるウェブサイトが、ほかのオリジン向けのスクリプトメッセージハンドラにアクセスできる可能性がある。

説明：ステート管理を改善し、ロジックの問題に対処しました。

WebKit Bugzilla：307014

CVE-2026-28861：Ant Group Infrastructure Security TeamのHongze Wu氏およびShuaike Dong氏

WebKit

影響：悪意を持って作成されたWebサイトにアクセスすると、クロスサイトスクリプティング攻撃を受ける可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

WebKit Bugzilla：305859

CVE-2026-28871：@hamayanhamayan氏

ご協力いただいたその他の方々

Safari

@RenwaX23氏のご協力に感謝いたします。

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日： 2026 年 04 月 06 日