Appleは2026年10月26日、iOS 18.7.11およびiPadOS 18.7.11を公開しました。iPhone XS、iPhone XS Max、iPhone XR、iPad（第7世代）などを対象に、CoreGraphicsの脆弱性「CVE-2026-86950」を修正しています。同脆弱性は細工されたファイルの処理によって任意のコードを実行されるおそれがあり、Appleは特定の個人を狙った高度な攻撃に悪用された可能性があるとの報告を把握しています。
Appleは9月28日にも、iOS 26.7.1／iPadOS 26.7.1などで同じ脆弱性への修正を提供していました。今回の更新は、その対策をiOS 18系で稼働する端末にも広げるものです。企業では、最新OSに移行している端末だけでなく、旧型端末や更新を保留している端末の状態を確認する必要があります。
iOS 18.7.11・CVE-2026-86950のサマリー
公開日：2026年10月26日。
更新プログラム：iOS 18.7.11およびiPadOS 18.7.11。
主な対象機種：iPhone XS、iPhone XS Max、iPhone XR、iPad（第7世代）など。AppleはほかにiPad Air（第4世代以降）、iPad（第9世代以降）、iPad mini（第6世代以降）も記載しています。
修正対象：CoreGraphicsの境界外書き込みの脆弱性「CVE-2026-86950」。
想定される影響：細工されたファイルの処理による任意コード実行。
悪用状況：Appleは、iOS 27より前のバージョンで特定個人を狙う高度な攻撃に悪用された可能性があるとの報告を把握しています。
先行修正：9月28日にiOS 26.7.1／iPadOS 26.7.1とmacOSの更新が公開されています。
米CISA：9月29日、CVE-2026-86950をKnown Exploited Vulnerabilities（KEV）カタログに追加しました。
同時修正：iOS 18.7.11／iPadOS 18.7.11ではAudioとCoreMediaの脆弱性も修正されています。
項目
内容
CVE番号
CVE-2026-86950
コンポーネント
Apple CoreGraphics
脆弱性の種類
境界外書き込み（CWE-787）
CVSS v3.1
8.8（CISA-ADPによる評価）
影響
不正に細工されたファイルの処理に伴う任意コード実行の可能性
2026年9月28日の修正版
iOS 26.7.1／iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1
2026年10月26日の追加修正版
iOS 18.7.11／iPadOS 18.7.11
発見者
Meta Product Security
CISA KEV登録日
2026年9月29日
iOS 18系にも修正を提供、iPhone XS・XRやiPad第7世代が対象
今回のポイントは、9月末に対策が公開されていたCVE-2026-86950について、Appleが旧バージョンのOS向けにも修正を追加した点です。
更新版
公開日
Appleが示す対象の例
iOS 18.7.11／iPadOS 18.7.11
2026年10月26日
iPhone XS／XS Max／XR、iPad（第7世代）、iPad Air（第4世代以降）、iPad（第9世代以降）、iPad mini（第6世代以降）
iOS 26.7.1／iPadOS 26.7.1
2026年9月28日
iPhone 11以降、iPad Pro 12.9インチ（第3世代以降）、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第8世代以降）、iPad mini（第5世代以降）
この表はAppleの各セキュリティ告知に記載された対象機種を整理したものです。実際に適用できる更新版は端末のモデルと現在のOSによって異なります。各端末で「設定」→「一般」→「ソフトウェアアップデート」に表示される更新情報を確認してください。
特にiPhone XS／XS Max／XRやiPad（第7世代）のように、組織内で長期利用されやすい端末は点検対象です。業務用端末の一覧から漏れている予備機、検証機、役職員向け貸与端末なども含め、実際に稼働している端末を把握する必要があります。
CoreGraphicsの境界外書き込み、細工されたファイルで任意コード実行の恐れ
CVE-2026-86950は、画像や2次元グラフィックスなどを扱うAppleのCoreGraphicsに存在する境界外書き込み（Out-of-bounds Write）の問題です。処理に必要なメモリー領域の範囲を超えてデータが書き込まれることで、メモリー破壊や意図しないコード実行につながる可能性があります。
Appleは、細工されたファイルを処理した場合に任意コード実行が起こり得ると説明し、境界チェックの改善によって問題を修正しました。発見者はMeta Product Securityです。
Appleの説明は、iOS 27より前のバージョンで特定個人を標的とした極めて高度な攻撃に悪用された「可能性」に言及するものです。攻撃に用いられたファイル形式、送信経路、攻撃者、被害者数は示していません。そのため、今回の更新を一般利用者への無差別攻撃が発生した証拠として扱うことはできません。
なお、CISAは2026年9月29日にCVE-2026-86950をKEVカタログに追加しています。これは実悪用に関する根拠を踏まえた登録であり、単に理論上の脆弱性という位置づけではありません。
関連資料
AI時代の脆弱性管理・パッチ管理｜運用見直しのポイントと製品選定の確認事項
脆弱性の優先順位付けから修復、暫定防御、パッチ管理まで、運用見直しと製品選定で確認したいポイントをまとめた資料です。
資料提供元：株式会社アズジェント
脆弱性管理の資料を見る
iOS 18.7.11ではAudioとCoreMediaの問題も修正
Appleの10月26日付セキュリティ情報には、CVE-2026-86950以外にも次の修正が掲載されています。
CVE
対象
Appleが説明する影響
CVE-2026-65339
Audio
アプリが機密性の高いユーザー情報を漏らす可能性
CVE-2026-86950
CoreGraphics
細工されたファイルの処理による任意コード実行の可能性
CVE-2026-86990
CoreMedia
悪意あるアプリがユーザーの許可なくカメラへアクセスする可能性
Appleが高度な標的型攻撃での悪用可能性に言及しているのは、これらのうちCVE-2026-86950です。ほかの2件について、今回の発表は実際の悪用を示していません。
9月に修正されたゼロデイ脆弱性を、10月になって旧端末へ追加適用
セキュリティ対策Labでは、9月30日付の「Appleが、iOS 27以前で標的型攻撃に悪用された脆弱性 CVE-2026-86950を修正」で、9月28日の初回修正と脆弱性の仕組みを詳しく取り上げました。
今回の10月26日の発表は、別のCVEや新たな攻撃キャンペーンが公表されたものではありません。既知の重大な脆弱性について、iOS 18系の端末でも適用可能な修正版が提供されたことが新しい点です。
また、初回公表翌日の9月29日にはCISAがKEVに登録しており、企業の優先対応対象として扱う根拠が追加されています。初回公表時点の対応可否だけで管理を終わらせず、その後の追加パッチや対象製品の変更を追跡する必要があります。
企業の情報システム部門が確認したいこと
iPhoneやiPadを業務利用する組織では、次の順番で更新状況を確認できます。
MDMなどの管理台帳からiPhone・iPadの機種名、OSバージョン、最終通信日時を抽出し、BYODや貸与機の管理範囲を確認する。
iPhone XS／XS Max／XR、iPad（第7世代）などを含め、iOS 18系・iPadOS 18系で運用する端末を洗い出す。
端末で利用可能な修正版を確認し、iOS 18.7.11／iPadOS 18.7.11などの更新を適用する。上位OSへ移行済みの端末も更新漏れがないか確認する。
更新指示の送信だけで完了とせず、再起動後のOSバージョンと最終適用結果を確認する。
更新できない端末は、更新失敗の原因、業務アプリの互換性、代替端末の有無を確認し、利用継続の可否を判断する。
今回のように、すでに実悪用が問題となった脆弱性の追加パッチが旧OSへ提供されるケースでは、OSの最新版だけを監視していると対象を取り逃がすおそれがあります。資産ごとに利用可能なOS系列と更新版を紐付け、対応状況を継続して追う運用が必要です。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)