AppleがANEのカーネル越境書き込みを修正 — CVE-2026-43748、macOS TahoeとSequoiaにパッチ配信

Appleは2026年9月上旬、Apple Neural Engine（ANE）の脆弱性を修正するセキュリティコンテンツを公開した。対象はmacOS Tahoe 26.6とmacOS Sequoia 15.7.8で、識別子はCVE-2026-43748である。同社は「アプリが想定外のシステム終了を引き起こす可能性がある」として、範囲外書き込みを境界チェックの改善で是正したと説明している。

何が起きたか

Appleのセキュリティ情報によると、CVE-2026-43748はANEコンポーネントの**範囲外書き込み（out-of-bounds write）**に起因する脆弱性である。悪用された場合、アプリがカーネルメモリの破損や予期しないシステム終了を引き起こす恐れがある。Appleは「改善された境界チェックで対処した」と記し、修正を両OSに同梱した。

報告者は匿名の研究者、tamdao氏、Blackwing IntelligenceのFranco Belman氏とされている。Appleは両ドキュメントで同一のCVEと説明を掲載している。

• macOS Tahoe 26.6: CVE-2026-43748をANEの修正として記載
• macOS Sequoia 15.7.8: 同一のCVEをANEの修正として記載。Sequoia向け文書は他にカーネルやAPFSなど多数のCVEも併記し、CVE総数は145件に上る

Appleは両文書で**「利用可能な場合：macOS Tahoe / macOS Sequoia」**と対象を明示している。米国のサポートページは2026年9月上旬に更新された。

技術的な要点

ANEは機械学習処理を担う専用ハードウェアとそのドライバ層であり、通常のアプリからは直接カーネルに触れない設計だが、ドライバの境界チェック不備があるとアプリ起点でカーネル領域へ影響が波及し得る。今回の修正は入力値やメモリ長の検証を厳格化する内容で、Appleは詳細な再現手順やPoCの有無には触れていない。

二次的な報道では、サンドボックスから到達可能でPoCが公開されたとする指摘もあるが、Appleの一次情報は**「アプリがシステム終了を引き起こす可能性」**という影響の記述にとどまる。研究者側のPoCの真正性や悪用容易性について、Appleは断定していない。

影響と国内利用者への注意

ANEは近年のMacに広く搭載されており、macOS TahoeやSequoiaを利用する個人・法人端末が対象になる。Apple製品は日本国内でも広範に利用されており、法人端末やクリエイティブ業務のMacは速やかにOSアップデートを適用することが望ましい。

Appleは同日、前後のバージョンを含む多数の脆弱性も同時修正しており、Sequoia 15.7.8ではAPFSやカーネル、ネットワークスタックなど広範囲に是正が入っている。単一のANEだけでなく、OS全体のセキュリティコンテンツとしての更新と捉える必要がある。

対策

Appleは両文書で最新版へのアップデートを推奨している。具体的な緩和策や回避策の記載はなく、修正はOSアップデートの適用で完了する。管理者は次の点を確認する。

• macOS Tahoeは26.6、Sequoiaは15.7.8へ更新する
• MDMや自動アップデートの運用で適用状況を可視化する
• 業務アプリの互換性を事前検証し、段階的に展開する

Appleが公表した内容に基づけば、現時点での対応はOSの最新化が中心である。

出典

• Apple Support「About the security content of macOS Tahoe 26.6」 https://support.apple.com/en-us/128067
• Apple Support「About the security content of macOS Sequoia 15.7.8」 https://support.apple.com/en-us/128071