アップル「iOS 18.7.7」配信開始　複数の脆弱性を修正

　アップルは3月24日、「iOS 18.7.7」の配信を開始した。不具合や脆弱性の修正を中心としたアップデートとなる。

　主な修正内容は以下のとおり。

●不具合や脆弱性に関する対応（概要）

■修正済み

802.1X

・ネットワーク上の特権的な立場にある攻撃者は、ネットワークトラフィックを傍受できる可能性がある（CVE-2026-28865）

AppleKeyStore

・アプリが予期しないシステム終了を引き起こす可能性がある（CVE-2026-20637）

オーディオ

・悪意をもって作成されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がある（CVE-2026-28879）

クリップボード

・アプリが機密性の高いユーザーデータにアクセスできる可能性がある（CVE-2026-28866）

CoreMedia

・悪意をもって作成されたメディアファイル内のオーディオストリームを処理すると、処理が終了する可能性がある（CVE-2026-20690）

CoreUtils

・ネットワーク上の特権的な立場にあるユーザーが、サービス拒否攻撃を引き起こす可能性がある（CVE-2026-28886）

Crash Reporter

・アプリがユーザーのインストール済みアプリを列挙できる可能性がある（CVE-2026-28878）

curl

・curlに問題があり、意図せず誤った接続を介して機密情報が送信される可能性がある（CVE-2025-14524）

DeviceLink

・アプリが機密性の高いユーザーデータにアクセスできる可能性がある（CVE-2026-28876）

Focus

・アプリが機密性の高いユーザーデータにアクセスできる可能性がある（CVE-2026-20668）

iCloud

・アプリがユーザーのインストール済みアプリを列挙できる可能性がある（CVE-2026-28880）

ImageIO

・悪意をもって作成されたファイルを処理すると、予期しないアプリの終了につながる可能性がある（CVE-2025-64505）

iTunes Store

・ iOSデバイスに物理的にアクセスできるユーザーは、アクティベーションロックを回避できる可能性がある（CVE-2025-43534）

カーネル

・アプリがカーネルメモリを漏洩する可能性がある（CVE-2026-28868）
・アプリが機密性の高いカーネル状態を漏洩する可能性がある（CVE-2026-28867）
・アプリが予期しないシステム終了を引き起こしたり、カーネルメモリに書き込みをしたりする可能性がある（CVE-2026-20687）

mDNSResponder

・アプリが機密性の高いカーネル状態を漏洩する可能性がある（CVE-2026-28867）

Security

・ローカル攻撃者がユーザーのキーチェーンアイテムにアクセスできる可能性がある（CVE-2026-28864）

UIFoundation

・アプリがサービス拒否攻撃を引き起こす可能性がある（CVE-2026-28852）

Vision

・悪意をもって作成されたファイルを解析すると、予期しないアプリの終了につながる可能性がある（CVE-2026-20657）

WebKit

・悪意をもって作成されたウェブコンテンツを処理した場合、コンテンツセキュリティポリシーが適用されない可能性がある（CVE-2026-20665）
・悪意をもって作成されたウェブコンテンツの処理により、同一オリジンポリシーが回避される可能性がある（CVE-2026-20643）
・プライベートリレーが有効になっている場合、リモートの攻撃者が漏洩したDNSクエリを閲覧できる可能性がある（CVE-2025-43376）
・悪意のあるウェブサイトが、他のオリジン向けに作成されたスクリプトメッセージハンドラにアクセスできる可能性がある（CVE-2026-28861）
・悪意をもって作成されたウェブサイトにアクセスすると、クロスサイトスクリプティング攻撃を受ける可能性がある（CVE-2026-28871）

 

■関連サイト

• About the security content of iOS 18.7.7 and iPadOS 18.7.7
• アップル