Apple製品の脆弱性CVE-2026-86950——悪用確認、早期更新を

CVE-2026-86950とは——Apple製品（iOS・iPadOS・macOS）の境界外書き込み欠陥

2026年9月28日、Apple製品に影響する脆弱性がCVE-2026-86950として正式に採番された（最終更新：2026年10月26日、採番元CNA：Apple）。対象製品はiOS・iPadOS・macOSの複数バージョンにまたがる。

技術的な欠陥の種類は境界外書き込み（out-of-bounds write）だ。メモリ境界の外側への書き込みを引き起こす構造上の問題であり、悪意をもって作成されたファイルを処理した場合に任意のコードが実行される可能性がある（CVE公式記録より）。修正は境界チェックの改善によって行われた。

CVSSスコアは8.8（HIGH）と評価されている（評価者：CISA-ADP、CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）。攻撃はネットワーク経由・低い攻撃複雑度・認証不要・ユーザー操作あり、という条件での評価だ。

Appleは、iOS 27より前のバージョンにおいて、特定の標的個人に対する極めて高度な攻撃でこの問題が悪用された可能性があるとの報告を認識していると公式に表明している（CVE公式記録より）。

関連記事PAN-OS管理画面にRCE脆弱性CVE-2026-0322、悪用確認で更新急げ ／ BeyondTrust製品にCVE-2026-102764——KEV掲載、至急確認を

iOS・iPadOS・macOSの脆弱性CVE-2026-86950——影響バージョンと修正版の一覧

以下は、CVE公式記録（cve.org）で確認された影響対象バージョンと修正済みバージョンの一覧だ。

製品	影響を受けるバージョン	修正済みバージョン
iOS / iPadOS	18.7.11 未満	iOS 18.7.11 / iPadOS 18.7.11
iOS / iPadOS	26.7.1 未満	iOS 26.7.1 / iPadOS 26.7.1
macOS	Sequoia 15.8.1 未満	macOS Sequoia 15.8.1
macOS	Tahoe 26.7.1 未満	macOS Tahoe 26.7.1

影響範囲はiOS・iPadOS・macOSにまたがり、旧系列（18系・Sequoia）と新系列（26系・Tahoe）の双方に修正版が提供されている。

iOS・macOS以外のApple製品（tvOS・watchOSなど）への影響については、本CVEの公式記録では確認できていない。各製品カテゴリの公式告知を個別に参照することを推奨する。

CISA KEV掲載が示す意味——「悪用確認済み」の重みを正確に読む

CVE-2026-86950は2026年9月29日、CISA（米サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilities（KEV）カタログに追加された（出典：CISA KEVカタログ）。KEV掲載は「現実の攻撃で悪用が確認された」ことを公式に意味し、理論的リスクとは性格が異なる。

CISAが設定した対処期限は2026年10月13日だ。この期限は米連邦行政機関（FCEB機関）向けの義務であり、日本企業への法的拘束力はない。

ランサムウェアでの利用については「Unknown（不明）」とされており、断定できる情報はない。攻撃手法についても、Appleの公式表明は「特定の標的個人に対する極めて高度な攻撃での悪用可能性」にとどまる。

EPSS（悪用確率の統計的推定値）は0.2617（パーセンタイル：0.9800）と算出されている（2026年10月31日時点、出典：FIRST EPSS）。ただしEPSSはあくまで推定値であり、悪用されることを確定するものではない。

iOS・iPadOS・macOSの脆弱性CVE-2026-86950への対処——今やるべき3点

日本の企業・運用担当者が取るべき対処を、確認された事実の範囲で整理する。

1. 修正済みバージョンへの更新を優先する
影響バージョンに該当する端末を管理している場合は、各修正済みバージョン（iOS 18.7.11、iOS 26.7.1、iPadOS 18.7.11、iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1）への更新を速やかに実施する。更新の手順・配布状況はAppleの公式告知を参照のこと。

2. CISA KEV掲載を踏まえ、更新の優先順位を引き上げる
CISAが示した必要な対処（出典：CISA KEVカタログ）は次の通りだ。「ベンダーの指示に従いミティゲーションを適用すること。BOD 26-04のパッチ適用ガイドラインに従い、クラウドサービスについても同ガイダンスを適用すること。ミティゲーションが利用できない場合は製品の使用を中止すること。各資産のインターネット露出状況を評価し、BOD 26-04のパッチ優先度基準を遵守すること。」

3. 公式の回避策について
本CVEにおいて、Appleが公式に案内した更新以外の回避策は、本記事の執筆時点で確認できていない。修正版への更新が事実上唯一の対処となる。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-86950 公式記録（cve.org）
  https://www.cve.org/CVERecord?id=CVE-2026-86950
• CVE-2026-86950 詳細（NVD / NIST）
  https://nvd.nist.gov/vuln/detail/CVE-2026-86950
• CISA Known Exploited Vulnerabilities カタログ
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog