AppleがiOS 27とmacOS 27「Golden Gate」を公開 — 更新10文書で重複を除き273件のCVEを修正、悪用確認の記載はなし

Appleは2026年9月14日（米国時間）、iPhone・iPad・Mac・Apple Watch・Apple TV・Apple Vision Pro向けのセキュリティ更新を一斉に公開した。公開された文書は10件で、いずれも同じ日のリリースだ。

各文書に記載されたCVE番号を重複を除いて数えると計273件になる（編集部集計）。延べ件数は1,038件で、同じ脆弱性が複数のOSにまたがって修正されている。文書ごとの内訳は次のとおりだ。

更新	主な対象	記載CVE数
iOS 27／iPadOS 27	iPhone 11以降、iPad（第9世代）以降、iPad Air（第4世代）以降ほか	126件
iOS 26.7／iPadOS 26.7	iPhone 11以降、iPad（第8世代）以降、iPad Air（第3世代）以降ほか	82件
macOS Golden Gate 27	Appleシリコン搭載Mac（MacBook Air 2020年以降、MacBook Pro 2020年以降ほか）	210件
macOS Tahoe 26.7	macOS Tahoe（26）	153件
macOS Sequoia 15.8	macOS Sequoia（15）	154件
tvOS 27	Apple TV 4K（第2世代）以降	89件
watchOS 27	Apple Watch Series 9以降	93件
visionOS 27	Apple Vision Pro（全モデル）	124件
Safari 27	macOS Sequoia、macOS Tahoe	6件
Xcode 27	macOS Tahoe 26.6以降	1件

今回のリリースの特徴は、新しい年次版（iOS 27、macOS Golden Gate 27など）と、1つ前の系統（iOS 26.7、macOS Tahoe 26.7、macOS Sequoia 15.8）の両方に修正が入っている点だ。新しい年次版へすぐに更新しない端末や、年次版の対象外となる古い端末も、修正を受け取れる。

iOS 27の主な修正内容 — カーネル関連だけで17項目

iOS 27／iPadOS 27の文書に記載されたCVEは126件で、Appleが同日公開した文書のうち、macOS Golden Gate 27に次いで多い。修正は122項目に分かれており、内訳ではカーネル関連が17項目と最も多い。

• Kernel（17項目） — 悪意を持って作成されたアプリがroot権限を取得できる可能性（CVE-2026-43689）、root権限を持つアプリが未初期化のカーネルメモリを読み取れる可能性（CVE-2026-84622）、アプリがカーネルメモリを破壊したり予期しないシステム終了を起こしたりする可能性などが修正された
• AVEVideoEncoder — サンドボックス内で動作するアプリが、カーネル権限で任意のコードを実行できる可能性（CVE-2026-84607）
• Bluetooth — リモートの攻撃者が予期しないアプリ終了や任意のコード実行を引き起こせる可能性（CVE-2026-65414）
• CoreMedia — 細工された画像を処理すると任意のコード実行につながる可能性（CVE-2026-64752）
• WebKit（3項目） — 悪意を持って作成されたWebコンテンツの処理で、予期しないプロセス終了や機密データの漏えいにつながる可能性
• Baseband — リモートの攻撃者がサービス拒否（DoS）を引き起こせる可能性（CVE-2026-86879）
• Safari — 悪意のあるWebサイトを訪問すると、端末にインストール済みのアプリを特定される可能性

このほか、CoreUIとSceneKitが各5項目、Accessibility・Baseband・Bluetooth・CloudKit・CoreText・FontParser・ImageIO・MobileBackup・NetworkExtensionが各2項目など、幅広いコンポーネントに修正が及んでいる。

macOS Golden Gate 27の主な修正内容 — 210件、対象はAppleシリコン搭載Macのみ

macOS Golden Gate 27の文書に記載されたCVEは、今回の10文書で最も多い210件だ。修正は205項目に分かれており、カーネル関連が29項目、印刷基盤のCUPSが10項目、ファイル共有のSMBが9項目と続く。

• Kernel（29項目） — リモートの攻撃者が予期しないシステム終了やカーネルメモリの破壊を引き起こせる可能性（CVE-2026-43790）、リモートの攻撃者によるDoS（CVE-2026-84538）、悪意のあるアプリがroot権限を取得できる可能性（CVE-2026-43689、CVE-2026-86917）など
• CUPS（10項目） — リモートのユーザーが予期しないアプリ終了や任意のコード実行を引き起こせる可能性（CVE-2026-43692）、アプリがroot権限を取得できる可能性（CVE-2026-43691、CVE-2026-43698）など
• autofs — ネットワーク上のディレクトリサーバーを支配する攻撃者が、root権限で任意のコードを実行できる可能性（CVE-2026-84568）
• udf — アプリがカーネル権限で任意のコードを実行できる可能性（CVE-2026-84506）
• Disk Images（5項目）／WebDAV（4項目） — アプリがroot権限を取得できる可能性（CVE-2026-65362）など

macOS Golden Gate 27の対象はAppleシリコン搭載のMacのみで、Intel搭載Macは対象に含まれていない。こうした既存環境向けには、同日公開されたmacOS Tahoe 26.7（153件）とmacOS Sequoia 15.8（154件）が修正を提供する。

旧系統向けの修正も同日に公開

年次版の対象外となる端末や、すぐに年次版へ移行しない環境向けに、Appleは旧系統の更新も同じ日に公開している。

• iOS 26.7／iPadOS 26.7 — 82件（iPhone 11以降、iPad（第8世代）以降、iPad Air（第3世代）以降など）
• macOS Tahoe 26.7 — 153件
• macOS Sequoia 15.8 — 154件

iOS 27／iPadOS 27の対象はiPhone 11以降とiPad（第9世代）以降で、iPad（第8世代）やiPad Air（第3世代）などはiOS 26.7側で修正を受け取ることになる。なお、iPhone 11より前の端末（iPhone XS／XRなど）は、今回公開された文書の対象に含まれていない。

悪用が確認されたとの記載はない

今回公開された10文書のいずれにも、脆弱性が実際に悪用されたとの記載はない（編集部が各文書を確認）。Appleは自社のセキュリティ文書で「お客様の保護のため、調査が行われ、パッチまたはリリースが利用可能になるまで、セキュリティ問題を開示・議論・確認しない」と説明しており、今回も悪用の有無は示されていない。

ただし、修正対象にはカーネル権限やroot権限の取得につながる問題が数多く含まれる。対象端末では適用状況を確認しておきたい。

いま何をすべきか

Appleは自社のセキュリティリリースページで、**「ソフトウェアを最新の状態に保つことは、Apple製品のセキュリティを維持するうえで最も重要なことの一つ」**と案内している。今回の修正は、次の手順で適用できる。

1. 現在のバージョンを確認する — iPhone／iPadは「設定」→「一般」→「情報」、Macは「システム設定」→「一般」→「情報」
2. iPhone／iPad — 「設定」→「一般」→「ソフトウェア・アップデート」から適用する。iOS 27の対象機種はiOS 27へ、対象外の機種はiOS 26.7へ
3. Mac — 「システム設定」→「一般」→「ソフトウェア・アップデート」から適用する。Appleシリコン搭載MacはmacOS Golden Gate 27、macOS Tahoe（26）を使っているMacはmacOS Tahoe 26.7、macOS Sequoia（15）を使っているMacはmacOS Sequoia 15.8へ更新する
4. Apple Watch／Apple TV／Apple Vision Pro — それぞれの「設定」のソフトウェア・アップデート、またはペアリングしたiPhoneのWatchアプリから適用する

なお、AppleはiOS・iPadOSについて一度更新すると以前のバージョンには戻せないと案内している。組織で端末を管理している場合は、管理下のiPhone・iPad・Macのバージョンを棚卸しし、今回の修正が適用されているかを確認しておきたい。

---

本稿は、Appleが2026年9月14日（米国時間）に公開したセキュリティ文書（2026年9月15日時点の公開情報）に基づく解説である。CVEの件数は各文書に記載されたCVE番号を編集部で集計した。

出典

• Apple: About the security content of iOS 27 and iPadOS 27（2026年9月14日付）
• Apple: About the security content of macOS Golden Gate 27（2026年9月14日付）
• Apple: About the security content of tvOS 27（2026年9月14日付）
• Apple: About the security content of watchOS 27（2026年9月14日付）
• Apple: About the security content of visionOS 27（2026年9月14日付）
• Apple: About the security content of Safari 27（2026年9月14日付）
• Apple: About the security content of Xcode 27（2026年9月14日付）
• Apple: About the security content of iOS 26.7 and iPadOS 26.7（2026年9月14日付）
• Apple: About the security content of macOS Tahoe 26.7（2026年9月14日付）
• Apple: About the security content of macOS Sequoia 15.8（2026年9月14日付）
• Apple: Apple security releases（2026年9月14日更新）