Apple CoreGraphics のゼロデイが KEV に — CVE-2026-86950、特定個人を狙った巧妙な攻撃で悪用の報告 (期限 10 月 2 日)
Apple は 2026 年 9 月 28 日に iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1 を公開し、CoreGraphics における境界外書き込み (out-of-bounds write、CVE-2026-86950、CWE-787) を修正した。悪意のあるファイルを処理することで任意のコード実行に繋がりうるとされ、Apple は iOS 27 以前のバージョンで特定の個人を狙った極めて巧妙な攻撃 (extremely sophisticated attack) での悪用があったとの報告を認識していると述べている。CISA は 9 月 29 日に本件を KEV に追加し、連邦機関の期限は 10 月 2 日 (forensicTriage は Yes)。CISA-ADP の CVSS 3.1 ベースは 8.8 (High)。修正は上記リリース以降のみであり、確認できた一次資料には暫定回避策の記載はない。
2026 年 9 月 28 日、Apple は iOS 26.7.1 と iPadOS 26.7.1、および macOS Tahoe 26.7.1 と macOS Sequoia 15.8.1 を公開し、CoreGraphics のセキュリティ内容を公表した (Apple サポート 149226 / 149228 / 149229、いずれも 2026-09-28 公開)。本件 CVE-2026-86950 は「境界外書き込みの問題が、改善された境界チェックにより対処された (An out-of-bounds write issue was addressed with improved bounds checking)」とされ、影響は「悪意のあるファイルを処理することで、任意のコード実行に繋がりうる (Processing a maliciously crafted file may lead to arbitrary code execution)」である。Apple は「iOS 27 より前のバージョンの iOS で、特定の個人 (specific targeted individuals) を狙った極めて巧妙な攻撃 (extremely sophisticated attack) における本件の悪用があったとの報告を認識している (Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27)」と述べている。Apple の各リリース文書は配信経路や悪用の詳細を示していない。CISA KEV 項目の短説は「Apple iOS、macOS、および iPadOS には CoreGraphics に境界外書き込み脆弱性があり、任意のコード実行に繋がりうる (An out-of-bounds write vulnerability in CoreGraphics that may lead to arbitrary code execution)」と述べている (CISA KEV カタログ)。NVD レコード (CVE-2026-86950) では、修正が「iOS 26.7.1 と iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1」にあり、CISA-ADP による CVSS 3.1 ベースは 8.8 (HIGH、AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)、脆弱性類型は CWE-787 (Out-of-bounds Write)、SSVC では exploitation=active である。CISA KEV 項目の注記欄は Apple の 3 文書と NVD レコードの URL、および BOD 26-04 とフォレンジック・トリアージ要件への参照を載せている。
CISA は 2026 年 9 月 29 日に本脆弱性を KEV カタログへ追加し、連邦市民行政機関には 10 月 2 日までの対応を求めている (BOD 26-04、追加から 3 日)。KEV 注記は「ベンダー指示に従い緩和を適用し、CISA の BOD 26-04 とフォレンジック・トリアージ要件に準拠する」ことを要求し、forensicTriage は Yes、既知のランサムウェア使用は Unknown である。CISA KEV カタログ (本記事執筆時点で全 1,734 項目) において、9 月 22 日から 9 月 30 日にかけて F5 BIG-IP APM (CVE-2026-94127)、MikroTik RouterOS (CVE-2026-67279)、Microsoft SharePoint (CVE-2026-65660)、WordPress Core (CVE-2026-87902)、Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771)、Cisco Catalyst SD-WAN Manager (CVE-2026-76504) に続き本件が追加されており、境界装置・管理インターフェースに加えて端末 OS 側の追加も含まれる。本記事執筆時点 (2026-10-08) で、Apple 製品の CoreGraphics に対する本件は上記の期間中に追加された最新項目である。
分析 (事実と分離): 本件で注目すべきは、CoreGraphics が処理するファイルという入力がトリガである点だ。Web ページ・添付ファイル・メッセージアプリなど、ファイルを受け取って開くあらゆる経路が候補になりうるとは言え、Apple は配信経路を特定していない (本記事が確認した一次資料には経路の特定はない)。CVSS の UI:R (ユーザインタラクション必須) と整合する。Apple が「iOS 27 より前のバージョン」と「特定の個人を狙った攻撃の報告」という限定的な表現を用いているため、「全ユーザーに開かれた遠隔攻撃」ではなく、標的型 (targeted) の悪用が示唆されるが、その規模や対象の範囲については一次資料に示されていない。修正は OS アップデートの適用のみのため、企業側の課題は管理・未管理端末を含む適用率の可視化と、期限 (10 月 2 日) を過ぎた環境の特定である。本記事は KEV 項目数の総数や他製品への波及を事実として数えていない。
防御側への含意: (1) iOS / iPadOS は 26.7.1 以上、macOS は Sequoia 15.8.1 / Tahoe 26.7.1 以上への更新を、未更新端末から優先して進める。Apple のソフトウェア・アップデート (iOS/iPadOS は設定 > 一般 > ソフトウェア・アップデート、macOS はシステム設定のアップデート) が適用済みであることを端末ごとに確認する。(2) MDM で管理されている端末では、適用状態のレポートと未適用端末のリストを今週中に確認し、10 月 2 日を過ぎても未更新の端末を特定する。(3) 更新までの暫定措置として、不審な添付・リンクの開覧を控え、出所の定かでないファイルの CoreGraphics 経由の処理 (画像・ドキュメントのプレビュー等) を避けることを案内する。Apple は本記事が確認した一次資料で特定の暫定回避策は示していない。(4) 標的型攻撃の文脈では、メールと Web を候補の入力経路として、端末のログイン・画面共有・ファイルアクセスの記録を確認しておく。事実関係は Apple の各リリース文書 (https://support.apple.com/en-us/149226、https://support.apple.com/en-us/149228、https://support.apple.com/en-us/149229)、CISA KEV カタログ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)、NVD の CVE レコード (https://nvd.nist.gov/vuln/detail/CVE-2026-86950) に基づく。分析部分は事実と分けて記述している。