iPhone XS・XS Max・XR を使っているなら、2026年10月26日（米国の日付）に出た iOS 18.7.11 には、悪用された可能性があると Apple が説明している脆弱性 CVE-2026-86950 の修正が入っています。iPhone 11 以降と Mac 向けには9月28日に先に直っていて、XS・XR 世代向けの修正は今回が初めてです。この記事では、Apple・米国 CISA・NVD/CVE・JPCERT/CC・IPA の公表に書かれた内容だけで、対象と今やることを整理します。
【結論】
- 対象：iPhone XS・XS Max・XR（と iPad 第7世代）で、iOS 18.7.11 より前の版。
- 今やること：「設定」→「一般」→「ソフトウェアアップデート」で iOS 18.7.11 を入れます。
- どんな欠陥か：描画の部品 CoreGraphics の範囲外書き込みで、細工されたファイルを処理すると任意のコードが実行されるおそれがあります。Apple は、特定の個人を狙った「きわめて巧妙な攻撃」に悪用された可能性があるという報告を把握しているとしています。
- iPhone 11 以降：2026年9月28日の iOS 26.7.1 で修正済みです。10月26日の iOS 27.2・26.7.2 のページに悪用の記載はありません。
2026年10月26日に Apple が出した更新
Apple のセキュリティリリースの一覧に、10月26日付け（米国の日付・時刻の記載なし）で並んだ主な更新です。CVE の件数は各ページの CVE 番号を数えたものです。
| 更新 | 対象 | CVE の件数 | 悪用の記載 |
|---|---|---|---|
| iOS 27.2 | iPhone 11 以降 | 163件 | なし |
| iOS 26.7.2 | iPhone 11 以降 | 134件 | なし |
| iOS 18.7.11 | iPhone XS・XS Max・XR、iPad 第7世代 | 3件 | あり（CVE-2026-86950） |
| macOS Golden Gate 27.2／Tahoe 26.7.2／Sequoia 15.8.2 | Mac | 263件／213件／197件 | なし |
ほかに Safari 27.2・tvOS 27.2・watchOS 27.2・visionOS 27.2 も出ましたが、悪用の記載はありません。悪用の記載がある CVE-2026-86950 も新しく見つかったものではなく、9月29日から CISA の KEV（悪用が確認された脆弱性のカタログ）に載っています。
CVE-2026-86950 とは
iOS 18.7.11 のセキュリティ情報の記載です。
| 項目 | Apple の記載 |
|---|---|
| 部位 | CoreGraphics |
| 影響（原文） | “Processing a maliciously crafted file may lead to arbitrary code execution. Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27.” |
| 影響（訳） | 悪意を持って作られたファイルを処理すると、任意のコードが実行されるおそれがある。Apple は、iOS 27 より前の iOS で、標的とされた特定の個人へのきわめて巧妙な攻撃にこの問題が悪用された可能性があるという報告を把握している。 |
| 修正の内容 | 範囲外書き込みの問題を、境界の確認を改善して修正 |
| 報告者 | Meta Product Security |
CoreGraphics は図形・画像・PDF などの2D描画を担う部品です（Apple Developer）。Apple は深刻度を付けていませんが、NVD に載った CISA の評価は CVSS 3.1 で 8.8（HIGH）です。Apple の日本語版は “before iOS 27” を「iOS 27以前」と訳していますが、原文は「iOS 27 より前」です。
経緯：最初の修正は9月28日、XS・XR 向けは4週間後
| 日付 | 出来事 |
|---|---|
| 2026年8月17日 | XS・XR 世代向け iOS 18.7.10。この CVE の記載なし |
| 2026年9月28日 | 最初の修正：iOS 26.7.1（iPhone 11 以降）、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1。悪用の可能性の記載あり |
| 2026年9月28日 19:13 UTC（日本時間9月29日 4:13） | CVE の記録が公開 |
| 2026年9月29日 | CISA が KEV に追加（米国の連邦政府機関の対応期限は10月13日）。参照先は上の3つの更新のページ |
| 2026年10月7日 | JPCERT/CC の Weekly Report が iOS 26.7.1 を紹介 |
| 2026年10月26日 | XS・XR 世代向けの修正：iOS 18.7.11・iPadOS 18.7.11 |
KEV に載った時点で修正版があったのは、iPhone 11 以降と Mac だけでした。XS・XR 向けの iOS 18 系は8月17日の 18.7.10 のあと更新がなく、iOS 18.7.11 がこの脆弱性への初めての修正です。遅れた理由を Apple は説明していません。
自分の iPhone は対象？機種別の早見表
| 機種 | CVE-2026-86950 の修正版 |
|---|---|
| iPhone XS・XS Max・XR | iOS 18.7.11（2026年10月26日） |
| iPhone 11 以降（iOS 26） | iOS 26.7.1（2026年9月28日）以降。最新は 26.7.2 |
| iPhone 11 以降（iOS 27） | iOS 27 系のページに記載なし。最新は 27.2 |
| iPhone 8・8 Plus・X | 記載なし（一覧の最新は2026年5月11日の iOS 16.7.16） |
| iPad 第7世代 | iPadOS 18.7.11 |
機種名は、Apple のiPhoneのモデルを識別するでモデル番号から調べられます。日本で売られたモデルは XS が A2098、XS Max が A2102、XR が A2106 です。なお Apple の一覧では、iOS 18.7.11 の対象に iPhone 11 以降は入っていません。iPhone 11 以降で iOS 18 のままなら、修正版として載っているのは iOS 26.7.1 以降です。
今やること：iOS 18.7.11 の入れ方
Apple のサポート記事iPhoneやiPadをアップデートするの手順です。
- iCloud またはコンピュータでバックアップをとる。
- 電源につなぎ、Wi-Fi に接続する。
- 「設定」→「一般」→「ソフトウェアアップデート」を開く（いまの版とアップデートの有無が表示される）。
- 「ダウンロードしてインストール」をタップし、画面の案内に従う。
入れたあと、同じ画面で 18.7.11 になっていることを確かめます。同じ記事によると、「自動アップデート」の「自動インストール」をオンにすると、充電中で Wi-Fi につながっている夜間に入ります。ワイヤレスで表示されない場合は、コンピュータを使う方法も案内されています。
更新が届かない機種（iPhone 8・X など）
iPhone 8・8 Plus・X 向けの最新は2026年5月11日の iOS 16.7.16 で、この脆弱性の修正版は載っていません。CVE の記録は、影響を受ける iOS を「18.7.11 より前」と「26.7.1 より前」としています。更新を入れられない機種向けの回避策は、Apple のセキュリティ情報に書かれていません。
公式に書かれていないこと
- 攻撃の手口・標的・ファイルの種類、被害の規模：Apple・CISA とも公表していません。Apple は、調査が終わって修正が出るまで問題を公開・説明しない方針を各ページに書いています。
- 攻撃されたかどうかの確かめ方：Apple のセキュリティ情報に記載はありません。
- iOS 27 系への影響：iOS 27・27.0.1・27.2 のページにこの CVE の記載はなく、CVE の記録の「影響を受ける版」にも iOS 27 系はありません。
- 国内の公的機関：2026年10月28日（日本時間）の確認時点で、iOS 18.7.11 を扱った JPCERT/CC の Weekly Report はまだ出ていません。JPCERT/CC の注意喚起と IPA の重要なセキュリティ情報に、この脆弱性の掲載はありません。
iOS 27.2 だけで163件の CVE が並ぶなど、修正の件数は増えています。背景はAIが見つける脆弱性は増えている？PHP2Shellの例と運営者が変えることで取り上げています。
よくある質問
iOS 18.7.11 を入れると iOS 26 や iOS 27 になりますか？
なりません。iOS 18.7.11 は iOS 18 系の更新です。Apple の一覧では、iOS 26.7.2 と iOS 27.2 の対象は iPhone 11 以降で、iPhone XS・XS Max・XR は入っていません。
9月に悪用が報告されたのに、なぜ今ごろ XS・XR 向けが出たのですか？
Apple は理由を説明していません。公表されているのは、2026年9月28日に iPhone 11 以降と Mac 向けの修正が出て、9月29日に CISA の KEV に載り、10月26日に XS・XR 世代向けの iOS 18.7.11 が出たという事実です。
自分の iPhone が攻撃されたかどうか確かめられますか？
Apple のセキュリティ情報に、確かめる方法の記載はありません。Apple は悪用の可能性を「特定の個人を標的にした、きわめて巧妙な攻撃」としていて、手口や被害の規模は公表していません。
iPhone 8 や iPhone X にはこの修正は来ますか？
2026年10月28日時点の Apple の一覧では、iPhone 8・8 Plus・X 向けの最新は2026年5月11日の iOS 16.7.16 で、CVE-2026-86950 の修正版は載っていません。代わりの回避策も、Apple のセキュリティ情報には書かれていません。
まとめ
- 2026年10月26日（米国の日付）の Apple の一斉更新で、悪用の記載があるのは iOS 18.7.11 の CVE-2026-86950 だけです。
- この脆弱性は9月28日に iPhone 11 以降と Mac 向けに修正済みで、9月29日から KEV に載っています。iOS 18.7.11 は XS・XS Max・XR 向けの初めての修正です。
- 「設定」→「一般」→「ソフトウェアアップデート」から入れられます。攻撃の手口や被害の規模は公表されていません。
参考（確認日：2026年10月28日）
- Apple：Apple security releases／Appleのセキュリティリリース（日本語版）
- Apple：About the security content of iOS 18.7.11 and iPadOS 18.7.11（2026年10月26日）
- Apple：iOS 26.7.1 and iPadOS 26.7.1／macOS Tahoe 26.7.1／macOS Sequoia 15.8.1（いずれも2026年9月28日）
- Apple：iOS 27.2 and iPadOS 27.2／iOS 26.7.2 and iPadOS 26.7.2（いずれも2026年10月26日）
- Apple：iOS 18.7.10 and iPadOS 18.7.10（2026年8月17日）／iOS 27 and iPadOS 27（2026年9月14日）
- Apple：iPhoneやiPadをアップデートする／iPhoneのモデルを識別する／Core Graphics（Apple Developer）
- CISA：Known Exploited Vulnerabilities Catalog（CVE-2026-86950）／同 JSON（2026年10月26日版）
- NVD：CVE-2026-86950／CVE.org：CVE-2026-86950
- JPCERT/CC：Weekly Report 2026-10-07号／注意喚起（2026年）
- IPA：重要なセキュリティ情報（2026年度）
コメント