国家サイバー統括室がiOSアップデートを呼びかけ｜iOS 27.2 / 26.7.2 / 18.7.11の脆弱性内容と更新手順

国家サイバー統括室が呼びかけるiOS / iPadOSセキュリティアップデートの概要

2026年10月27日（日本時間）、AppleがiPhoneおよびiPad向けの最新セキュリティアップデートを公開したことを受け、内閣官房の国家サイバー統括室（注意・警戒情報アカウント @cyber_forecast）は、対象端末を利用するすべてのユーザーおよび組織に向けて、速やかにソフトウェアアップデートを適用するよう注意喚起を行いました。

今回のアップデートは、最新の「iOS 27」系統だけでなく、旧バージョンを使い続けているユーザー向けの「iOS 26」系統および「iOS 18」系統の計3つの世代に対して一斉に配信されています。特に、標的型攻撃で実際に悪用された可能性がある深刻な脆弱性（CVE-2026-86950）や、ブラウザエンジン「WebKit」・OSの中核である「カーネル（Kernel）」の重大な欠陥が多数修正されている点が特徴です。

Apple公式セキュリティリリースおよび国家サイバー統括室の案内による各アップデートの概要は以下のとおりです。

お使いのiPhoneやiPadの世代・利用中のOSバージョンにかかわらず、放置すると細工されたWebサイトの閲覧や画像・ファイルの受信だけで端末を侵害されるリスクがあるため、直ちにアップデートを確認・適用することが推奨されます。

なぜ緊急性が高いのか？修正された主な脆弱性の内容と危険性

国家サイバー統括室や国内外のセキュリティ機関（JPCERT/CC、米国CISA等）が迅速な更新を強く呼びかけている理由は、今回のアップデート群に「すでに実際のサイバー攻撃で悪用された報告がある脆弱性」や「ユーザーの操作なし（またはWeb閲覧のみ）で悪用され得る任意コード実行の脆弱性」が含まれているためです。

1. 標的型攻撃で悪用が指摘された「CoreGraphics」の脆弱性（CVE-2026-86950）

最も警戒が必要なのが、Appleの画像描画フレームワーク「CoreGraphics」に発見された領域外メモリ書き込み（Out-of-bounds write / CWE-787）の脆弱性「CVE-2026-86950」（CVSS v3.1スコア：8.8）です。

• 発生するリスク：悪意を持って細工された画像やドキュメントファイルを処理した際、メモリ破損が発生し、攻撃者によって任意のコードが実行される（端末の乗っ取りやスパイウェアの埋め込み）恐れがあります。
• 悪用の実態：Appleの公式アドバイザリにおいて、「iOS 27より前のバージョンにおいて、特定の個人を標的とした極めて高度な攻撃に悪用された可能性があるとの報告を認識している」と明記されており、米国CISAの「悪用が確認された脆弱性カタログ（KEV）」にも登録されています。
• 対象バージョンでの対応：iOS 26系統では先行リリースされた iOS 26.7.1 で緊急修正されていましたが、今回の iOS 18.7.11 / iPadOS 18.7.11 によって、iPhone XS / XRなどの旧世代モデルにも修正パッチがバックポート提供されました。

2. WebKit（ブラウザエンジン）およびカーネルの重大な脆弱性（iOS 27.2 / 26.7.2）

最新系統の iOS 27.2（163件修正）および旧系統の iOS 26.7.2（134件修正）では、iPhoneの根幹を支える以下のコンポーネントで多数の脆弱性が解消されています。

特にiOSでは、標準ブラウザのSafariだけでなく、ChromeやLINE・SNSアプリ内のブラウザもすべて「WebKit」エンジンを使用しているため、「普段Safariを使っていないから安全」とは言えない点に注意が必要です。

【個人・法人利用者向け】iPhone / iPadのアップデート確認・適用手順

お使いのiPhoneまたはiPadが最新状態になっているか、以下の手順で今すぐ確認・アップデートを実施してください。

STEP 1：現在のバージョンを確認しアップデートを実行する

1. iPhone / iPadを安定したWi-Fi環境に接続し、バッテリー残量が50%以上あること（または充電ケーブルに接続されていること）を確認します。
2. ホーム画面から［設定］＞［一般］＞［ソフトウェアアップデート］の順にタップします。
3. 画面に表示されるアップデート内容を確認し、［今すぐアップデート］（または［ダウンロードしてインストール］）をタップします。
4. パスコードを入力し、利用規約に同意するとダウンロードと再起動が行われ、アップデートが完了します。

STEP 2：どのバージョンを選べばよい？（iOS 27.2 と iOS 26.7.2 の違い）

iPhone 11以降の端末で現在「iOS 26」を利用している場合、ソフトウェアアップデート画面に「iOS 26.7.2」と、画面下部の「iOS 27にアップグレード（iOS 27.2）」の2つの選択肢が表示されることがあります。

• 基本的には最新の「iOS 27.2」へのアップデートを推奨：最新のセキュリティ保護機能と163件の脆弱性修正がすべて適用されます。
• 業務アプリの動作検証待ち等で「iOS 26」を維持したい場合：メジャーバージョンアップを見送る場合でも、放置せず必ず「iOS 26.7.2」を適用してください。これにより、iOS 26系統向けの134件のセキュリティ修正（および 26.7.1 で修正された CVE-2026-86950）が適用されます。
• iPhone XS / XR 等（iOS 18世代）を利用している場合：「iOS 18.7.11」を速やかに適用してください。

STEP 3：「自動アップデート」を有効にして更新漏れを防ぐ

今後の緊急セキュリティパッチを逃さないため、［設定］＞［一般］＞［ソフトウェアアップデート］＞［自動アップデート］を開き、以下の3項目をすべてオン（緑色）に設定しておくことを推奨します。

• iOSアップデートを「自動的にインストール」
• 「セキュリティ対応とシステムファイル」を自動的にインストール
• iOSアップデートを「自動的にダウンロード」

アップデートできない・進まない場合の対処法

アップデート時にエラーが出る場合や進まない場合は、次の3点を確認してください。

1. ストレージの空き容量不足を解消する：iOS 27.2等の大型アップデートには数GB〜10GB以上の空き容量が必要です。［設定］＞［一般］＞［iPhoneストレージ］から不要なアプリや動画・キャッシュを整理してください。
2. モバイルデータ通信・低電力モード・VPNを解除する：低電力モードやVPNアプリが有効になっているとダウンロードが停止する場合があります。一時的にオフにしてWi-Fi環境で再試行してください。
3. 端末を一度再起動する：「アップデートを確認できません」と表示される場合は、iPhoneを一度再起動してから再度［ソフトウェアアップデート］を開いてください。

社用iPhone / iPadや公式アプリを運用する企業が確認すべき3つの対策

内閣官房の国家サイバー統括室は、2026年10月9日付の事業者向け注意喚起（「不正アクセスによる漏えい等の事案を踏まえた対応について」）においても、OSやソフトウェアのセキュリティパッチを後回しにせず速やかに適用すること、およびサポート終了製品の継続利用をやめることを強く要請しています。

企業の情報システム部門やモバイルアプリ運営部門は以下の3点を点検してください。

1. MDM（モバイルデバイス管理）による法人端末のOSバージョン一斉点検と強制更新

社用端末として配布しているiPhone / iPadや、業務利用を許可しているBYOD端末について、MDM（Jamf、Microsoft Intune等）を用いて現在のiOSバージョンを棚卸しします。ユーザー任せにすると更新が数ヶ月放置されるケースが多いため、更新期限を設定して強制アップデート（または未更新端末の社内システム接続制限）を行う運用が有効です。

2. サポート終了（EOL）端末の把握とリプレイス計画

iPhone 8 / iPhone X以前のモデル（iOS 16以前でサポート終了）など、最新のセキュリティパッチが提供されない古い端末が業務や検証用としてネットワーク上に残っていないか確認し、サポート対象機種へのリプレイスを進めます。

3. 自社が提供するiOS / AndroidアプリとバックエンドAPIの脆弱性診断

OS側の脆弱性だけでなく、企業が配布している公式アプリ自体の実装不備や、アプリを解析して接続先サーバーを攻撃する手口（NICT等も警告する「A2B：App-to-Backend攻撃」）への対策も不可欠です。定期的なアプリセキュリティ診断によって、アプリ内の認証情報残存やAPIの認可制御不備を洗い出しておくことが重要です。

モバイルアプリ・社内システムの安全性を確認したい企業へ

スマートフォンを取り巻く脅威は、OSのゼロデイ脆弱性から、アプリの通信解析を通じたバックエンドAPIへの不正アクセスまで多様化しています。自社のモバイルアプリやWebシステムに外部から悪用可能な弱点がないか、専門家の視点で点検しておくことが重要です。

• アプリセキュリティ診断 — iOS / Androidアプリ本体と通信先APIのセキュリティリスクを包括的に診断
• Webアプリセキュリティ診断 — 会員管理システム、認証・認可制御、Web APIの脆弱性を詳細に診断
• ペネトレーションテスト — 攻撃者視点で社内ネットワークや重要データベースへの侵入可能性を検証
• 脆弱性診断サービス — 外部公開サーバー・クラウド・ネットワーク機器の脆弱性を網羅的に洗い出し

「自社のiOS / Androidアプリの安全性を確認したい」「公開システム全体の脆弱性を一度点検したい」という場合は、お気軽にご相談ください。

よくある疑問

Q. 2026年10月に国家サイバー統括室が注意喚起しているiOSアップデートとは何ですか？

A. 米国時間2026年10月26日（日本時間10月27日）にAppleが公開した「iOS 27.2 / iPadOS 27.2」「iOS 26.7.2 / iPadOS 26.7.2」「iOS 18.7.11 / iPadOS 18.7.11」のセキュリティアップデートです。標的型攻撃で悪用された可能性がある脆弱性や、WebKit・カーネル等の最大163件におよぶ重大な脆弱性が修正されているため、内閣官房の国家サイバー統括室（@cyber_forecast）が速やかな適用を呼びかけています。

Q. iOS 27.2・iOS 26.7.2・iOS 18.7.11のうち、自分のiPhoneはどれにアップデートすべきですか？

A. iPhone 11以降の対応機種をご利用の場合は、最新機能と163件のセキュリティ修正が含まれる「iOS 27.2」へのアップデートが最も推奨されます。業務アプリの都合等でiOS 27へのメジャーアップグレードを見送っている場合でも、必ず「iOS 26.7.2」（134件の脆弱性修正）を適用してください。また、iPhone XS / XRなどのiOS 18世代の端末では「iOS 18.7.11」を適用する必要があります。

Q. 悪用が指摘されている脆弱性「CVE-2026-86950」とはどのような危険性がありますか？

A. Appleの画像描画エンジン「CoreGraphics」に存在した領域外メモリ書き込みの脆弱性（CVSSスコア8.8）です。悪意を持って細工された画像やファイルを処理しただけでメモリ破損が起き、任意のコードを実行される（端末を乗っ取られる）恐れがあります。AppleはiOS 27より前のバージョンにおいて、特定の個人を狙った高度な標的型攻撃で実際に悪用された可能性があることを公表しています。

Q. Safariを使っていなければ、WebKitの脆弱性の影響は受けませんか？

A. いいえ、Safari以外のブラウザを使っていても影響を受けます。iOS / iPadOS環境では、Google ChromeやMicrosoft Edgeなどの他社製ブラウザアプリや、LINE・SNSアプリ等のアプリ内ブラウザも内部的にはAppleの「WebKit」エンジンを使用しているため、OS本体のアップデートを適用しない限り脆弱性は解消されません。

Q. 企業が社用iPhone・iPadを管理するうえで注意すべき点は何ですか？

A. 従業員個人の判断に任せるとアップデートが放置されやすいため、MDM（モバイルデバイス管理）ツールを活用して全端末のOSバージョンを把握し、期限を設けて「iOS 27.2」または「iOS 26.7.2 / 18.7.11」への一斉更新を徹底してください。あわせて、すでにセキュリティサポートが終了した古い端末（iPhone X以前など）が業務利用されていないか棚卸しを行うことが重要です。

まとめ

Appleから公開されたセキュリティアップデート（iOS 27.2 / iOS 26.7.2 / iOS 18.7.11）では、標的型攻撃で悪用された可能性がある「CoreGraphics」の脆弱性（CVE-2026-86950）をはじめ、WebKitやカーネル等の最大163件におよぶ深刻な脆弱性が修正されており、内閣官房の国家サイバー統括室からも速やかな更新が呼びかけられています。

個人ユーザーは直ちに［設定］＞［一般］＞［ソフトウェアアップデート］から最新バージョンを適用し、企業・組織の管理者は社用端末およびBYOD端末のアップデート適用状況を速やかに点検してください。

参考情報

• 内閣官房 国家サイバー統括室（NCO）公式サイト
• 内閣官房 国家サイバー統括室 注意・警戒情報 公式X（@cyber_forecast）
• Apple Support「About the security content of iOS 27.2 and iPadOS 27.2」（2026年10月26日）
• Apple Support「About the security content of iOS 26.7.2 and iPadOS 26.7.2」（2026年10月26日）
• Apple Support「About the security content of iOS 18.7.11 and iPadOS 18.7.11」（2026年10月26日）
• Apple Support「Apple security releases（セキュリティアップデート一覧）」

関連ページ

• アプリセキュリティ診断 — iOS / Androidアプリと通信APIの脆弱性・認証不備を専門家が診断
• Webアプリセキュリティ診断 — 会員管理システムやAPI、認証・認可制御の弱点を詳細に確認
• ペネトレーションテスト — 攻撃者視点で社内ネットワークや重要データへの到達可能性を検証
• 脆弱性診断サービス — サーバー・クラウド・Webアプリケーションの脆弱性を網羅的に診断
• 【2026年最新】API脆弱性診断ガイド｜BOLA等のOWASP API Top 10対策と費用相場 — モバイルアプリ裏側のAPI認可制御の診断ポイントを解説