iOS 16のまま？ハッカーが2024年のSafari脆弱性で旧iPhoneを攻撃中

2026年11月4日、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Apple WebKitの脆弱性CVE-2024-27834をKnown Exploited Vulnerabilities catalogに追加した。米連邦機関には2026年11月18日までにパッチを適用する期限がある。CISAは影響を受ける製品としてAppleの「Multiple Products」を挙げている。

この脆弱性は2024年に発見されたものだ。Appleは2024年5月13日にiOS 17.5とSafari 17.5、さらに旧機種のiPhone 8、iPhone 8 Plus、iPhone X向けのiOS 16.7.8で修正した。それでもニュースに再び取り上げられるのは、攻撃者が今もこの更新を一度も適用していない端末に対してこの脆弱性を利用しているためだ。修正コードは2年以上前に存在しており、被害を受けているのは2024年5月より前に更新を止めた端末である。

詳細の前に要点をまとめる。

• iPhone 8、8 Plus、XがiOS 16.7.8以降で動作している場合、この特定の攻撃チェーンは機能しない。
• iOS 16.7.7以前で更新が止まっている場合、影響を受ける状態にあるため、今日すぐ更新すべきだ。
• Androidで古いバージョンのChromeを使っている場合も、関連する攻撃の対象になる。Chrome 146以降で修正されている。

CISAは11月4日に何を追加したのか、そしてなぜ2024年の脆弱性が再び話題なのか

脆弱性そのものは、SafariとほとんどのiPhoneブラウザの基盤であるブラウザエンジンWebKitに存在します。すでにメモリへの読み書き権限を持つ攻撃者が、iPhoneの防御機構であるPointer Authenticationを回避できるというものです。Appleは、Trend MicroのZero Day Initiativeと協力したManfred Paulの貢献を認めています。Appleの修正内容の公開情報（セキュリティ情報）は、iOS 17.5向けとiOS 16.7.8向けで読むことができます。

CISA掲載の背景にある攻撃キャンペーンについては、フランスのセキュリティ企業であるSekoiaが、CISA掲載と同じ日に公開したレポートで詳述しています。具体的な内容は次のセクションで取り上げます。

どのスマートフォンが危険にさらされるのか

Sekoiaが記録した攻撃チェーンは、端末とソフトウェアのバージョンによって分かれている。CVE-2024-27834を利用するiPhoneのチェーンは、iOS 16.7.7以前のままの端末でしか動作しない。Appleは2024年5月のiOS 16.7.8でこの脆弱性を修正済みだからだ。2つ目のiPhoneチェーンはiOS 18.5を狙い、3つ目はAndroidのChromeを狙うもので、対象はバージョン139から145に限られる。

iPhone 8、8 Plus、Xには一つ注意点がある。これらの端末はiOS 16に対して断続的に修正が提供されるだけで、すべての修正が来るわけではない。iOS 16.7.16に完全に更新された端末ではチェーンAは成立しないが、新しいiOSバージョンで修正済みのWebKitのバグが残っている可能性はある。そのため、これらの端末での使い道には制限が生じる。詳細は後述する。

ウェブサイトの閲覧がどうして攻撃になったのか

この手法はウォータリングホールと呼ばれる。攻撃者は標的にリンクやメッセージを送る代わりに、標的が訪れそうなウェブサイトにコードを仕込む。信頼しているサイトにアクセスすると、そのサイトが攻撃コードを配信する。

Sekoiaは、このキャンペーンに関わったサイトを特定した。ニュースサイトではない。リストに並んでいたのは改ざんされた正規のページで、ウクライナのガス生産企業、米国の化学産業業界団体、チェコの政党、ブルガリアの軍事関連サイトだった。ほかに2つの偽装ドメインもあり、一方は米国のAmerica250記念サイト、もう一方はロンドンの高級ホテルを模していた。改ざんされたウクライナのウェブ解析スクリプトPlerdyは、2026年8月27日から9月3日までの期間、主にウクライナの数千のウェブサイトに設置されていた。影響を受けた国は米国、ウクライナ、チェコ、ブルガリアで、ホテルの偽装ドメイン経由で英国も加わる。

スマートフォンでこの記事を読んでいる人にとって、最も重要な点は2つある。

• タップは不要だった。Sekoiaによれば、攻撃コードはユーザーの操作なしに配信された。ページを読み込むだけで十分だった。
• 再起動後はスマートフォンに何も残らない。永続化は行われていない。

Sekoiaはこのキャンペーンを中程度から高い確度でAPT29の関与と結びつけており、同社によればこのグループはロシアの対外情報機関と広く結びつけられている。帰属の問題は別として、実務的な教訓は2018年のSafariとWebKitの記事と同じだ。パッチが適用されたブラウザかどうかで、敵対的なページと無害なページの違いが決まる。Sekoia自身の結論は、最新のOSを実行しているユーザーはこれらの攻撃から安全だというものだ。すべての脆弱性はキャンペーン開始前にベンダーによって修正済みだったからである。

iOS 16.7.16に更新したiPhone 8やiPhone Xは安全か

ほぼ安全だ。チェーンAは2つの脆弱性の組み合わせで成立する。そのひとつ、CVE-2024-27834は、Appleの公開情報によると2024年5月13日のiOS 16.7.8で修正された。つまりiOS 16.7.8以降、現行のiOS 16.7.16を含む端末ではこのチェーンが成立せず、攻撃は機能しない。

限界はチェーンのもうひとつの脆弱性、CVE-2025-43529にある。Appleの公開情報では、この脆弱性の修正はiOS 18とiOS 26に記載されており、iOS 16向けの記載はない。したがって、最新まで更新したiPhone 8やXはこのキャンペーンを防げるが、新しいiPhoneではすでに修正済みのWebKitの脆弱性が残っている可能性はある。iOS 16は時折修正を受け取るが、すべての修正を受け取るわけではなく、現行のiOSとの差は時間とともに広がる。

実際に何を意味するか:

• iOS 16.7.7以前の端末はチェーンAにさらされている。設定、一般、ソフトウェア・アップデートから、今日iOS 16.7.16に更新すること。
• iOS 16.7.16の端末はこのキャンペーンから守られているが、完全に修正済みとは扱うべきではない。通話、メッセージ、ブラウジング用に使い、銀行や仕事のアカウントは新しい端末へ移すこと。
• 更新を一切受け取らなくなった端末は廃棄を検討すべきだ。未修正のブラウザ脆弱性が蓄積していく。

現行のiOS 16リリースである16.7.16は、Appleのリリースノートによると2026年5月11日に配信された。

Android端末とChromeはどうか

3つ目の攻撃チェーンはiOSではなくAndroidを狙うものだ。Chromeの脆弱性CVE-2026-3910と、Qualcommのグラフィックスドライバの脆弱性CVE-2025-27038を組み合わせている。Sekoiaによれば、ChromeのCookie、保存されたログイン情報、閲覧履歴、Wi-Fi設定が盗まれる。

Chromeの脆弱性は、2026年3月12日にデスクトップとAndroid向けのChrome 146で修正された。Googleは当時、この脆弱性が実際に悪用されていると発表した。つまりここでも同じ原則が当てはまる。被害を受けるのは、2026年3月より前に更新が止まったChrome 139から145を実行している端末だ。

Androidでは2つの更新が別々に重要で、同時に届くわけではない。

• ブラウザ:Playストアを開き、Chromeを検索して「更新」をタップする。インストール済みのバージョンは、Chromeの設定から「Chromeについて」で確認できる。146以降であること。
• オペレーティングシステム:Qualcommドライバの脆弱性は、Androidのシステム更新で修正される。設定から「システム」または「システムアップデート」に進む。未修正のAndroidシステム上でChromeだけ更新しても、チェーンの後半は残ったままになる。

ドライバの修正が特定の端末に届くかどうかは、メーカーがシステム更新を配信するか次第だ。更新が一切届かない端末は、古いiPhoneと同様に使用をやめるべきだ。リスクが集中しているのは、届いた更新をインストールしないユーザーの端末であり、このキャンペーンの3つのチェーンすべてに共通するパターンだ。あなたのChromeが数か月間バージョン145以下のままになっているなら、今日更新を確認する合図として扱ってほしい。

今日、何をすべきか

修正はごく普通のアップデートである。このキャンペーンで悪用された脆弱性は、いずれも攻撃が始まる前にベンダーによって修正済みだった。

• iPhoneでは、設定、一般、ソフトウェア・アップデートと進み、表示されたアップデートをインストールします。iPhone 8、8 Plus、XのユーザーはiOS 16.7.16以降にしておく必要があります。
• Androidでは、Playストアを開き、Chromeを検索して「更新」をタップします。Chromeの設定、Chromeについてで結果を確認してください。バージョン146以降が目安です。
• Androidのシステムアップデートは別途、設定、システム(またはソフトウェアアップデート)からインストールします。ブラウザのアップデートだけでは攻撃チェーン全体を断てません。
• スマートフォンがまったくアップデートを受け取れなくなっているなら、銀行取引、仕事のアカウント、ショッピングには使わないでください。そうしたアカウントは、パッチが配信される端末に移してください。
• iPhone 8、8 Plus、Xを重要な用途に使っているなら、買い替えの計画を始めてください。たまに修正が配信されることと、完全なサポートを受けていることは同じではありません。
• Sekoiaの調査では永続化は確認されておらず、再起動後には端末に何も残りません。ただし、すでに盗まれたCookieは盗まれたままです。パッチ未適用の端末でこれらのページを読み込んだ可能性があるなら、重要なアカウントのすべてのセッションからサインアウトし、再度サインインしてください。

目新しいアドバイスではありません。2014年のApple SSL脆弱性に関する記事で説明したのと同じルーチンです。アップデートを確認し、インストールし、繰り返す。モバイルセキュリティのハブには、こうした基本がまとめられています。

ブラウザの脆弱性攻撃からVPNは守ってくれるのか

守れない。VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問先のサイトからIPアドレスを隠します。公衆Wi-Fiでの安全性確保には役立ちますが、これは公衆Wi-Fiの記事で扱っています。ただし、SafariやChromeにパッチを当てることはできず、読み込むページを検査することもありません。

このキャンペーンで使われた脆弱性攻撃は、ブラウザそのものを経由して届きました。改ざんされたページが攻撃コードを配信すれば、そのコードはページの他の部分と同じように暗号化されたトンネルの中を通って届きます。VPNから見れば、1台のサーバーへの暗号化された通信の流れにしか見えず、悪意あるページと無害なページを区別する手段がありません。暗号化は転送中のデータを守るものであって、届いた後にブラウザが実行するコードを守るものではないのです。

VPNが役立つのは、モバイル利用のその他の部分です。ホテル、空港、カフェのWi-Fiでは、同じネットワーク上の他の人からトラフィックを守ります。これは公衆Wi-Fiの記事で説明している内容です。このキャンペーンが突く問題とは別の問題です。

この2つの層は役割が異なります。アップデートは、ブラウザの脆弱性攻撃が依存する欠陥を塞ぎます。VPNは、自分で管理していないネットワーク上のトラフィックを守ります。VPNが一方の層、アップデートがもう一方の層です。