Apple CoreGraphics の CVE-2026-86950: 細工したファイルの処理で範囲外書き込み、標的型攻撃で悪用の報告。CISA KEV 掲載・CVSS 8.8

Apple の iOS・iPadOS・macOS の CoreGraphics に、範囲外書き込み（CWE-787）CVE-2026-86950 が見つかり、Apple は 2026-09-28 に修正版を公開しました。細工したファイルを処理すると、任意のコードが実行される可能性があります。Apple は「極めて高度な攻撃で、特定の標的となった個人に対して悪用された可能性があるとの報告を把握している」としています。CISA は 2026-09-29 に KEV（悪用が確認された脆弱性）カタログへ追加しました。NVD の CVSS v3.1 は 8.8（AV:N/AC:L/PR:N/UI:R）で、ファイルを開くなどのユーザー操作が前提です。

概要

項目	内容
CVE	CVE-2026-86950
製品	Apple iOS・iPadOS・macOS（コンポーネント: CoreGraphics）
問題	範囲外書き込み（CWE-787）。境界チェックの改善で修正
攻撃条件	細工したファイルを処理させる（ユーザー操作が必要）。認証は不要
結果	任意のコード実行の可能性
悪用状況	Apple が、特定の標的に対する高度な攻撃での悪用の可能性を報告として把握。CISA KEV に 2026-09-29 追加（対応期限 2026-10-13）

• 影響を受けるのは、修正版より前の iOS・iPadOS・macOS です。CoreGraphics は画像や PDF の描画を担う基盤のため、ファイルを開くだけの経路が複数あり得ます（具体的な攻撃経路は公開されておらず、未確認）。
• Apple の注記では、悪用の報告は iOS 27 より前の版に関するものです。

影響範囲

NVD の対象データでは、次の版が影響を受けるとされています。

• iOS・iPadOS: 18.7.11 より前、および 26.0 以上 26.7.1 未満
• macOS: 15.8.1 より前、および 26.0 以上 26.7.1 未満

Apple の公開情報では、旧型の iPhone・iPad 向けに iOS 18.7.11 / iPadOS 18.7.11（iPhone XS、XS Max、XR、iPad 第 7 世代）、新しい機種向けに iOS 26.7.1 / iPadOS 26.7.1 が提供されています。iOS 27 以降への更新は、Apple の注記のうえでは悪用報告の対象外です。

修正と対策

• 修正版へ更新する。 iOS 18.7.11・iPadOS 18.7.11、iOS 26.7.1・iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1 が Apple の修正版です（いずれも 2026-09-28 公開）。
• 自動更新が有効か、管理下の端末（MDM）で更新が強制されているかを確認する。更新の遅れている端末を優先して洗い出す。
• 出所が不確かなファイル（画像、PDF、添付ファイル）を開かない。標的型攻撃の対象になりやすい立場の人は、端末の更新を最優先にする。
• CISA の連邦機関向け対応期限（2026-10-13）はすでに過ぎています。民間の組織も、更新の完了を確認してください。
• 侵害が疑われる場合は、CISA のフォレンジック初動調査の要請に沿って調査する。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed
CVSS v3.1	8.8（CISA ADP、AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）
CWE	CWE-787（範囲外書き込み）
EPSS	0.2617（パーセンタイル 0.9800、FIRST、2026-11-02 時点）
KEV	掲載あり（2026-09-29 追加、対応期限 2026-10-13）
出典	NVD、Apple のセキュリティ情報（HT 149225・149226・149228・149229）、FIRST、CISA

未確認の点

• 実際の攻撃で使われたファイル形式、経路、対象の範囲（公開情報では確認できない）。
• ランサムウェア攻撃での利用。
• iPadOS・macOS 以外の Apple 製品（watchOS、visionOS など）への影響。今回確認した Apple の 4 件の文書には記載がない。
• 認証の要否は NVD 上は「不要」だが、実際の攻撃にはユーザーがファイルを処理する操作が必要。