iPadOS – IoT OT Security News

Apple iOS／iPadOS のゼロデイ脆弱性 CVE-2025-43300 が FIX：標的型攻撃での悪用を確認

Critical Apple 0-Day Vulnerability Actively Exploited in the Wild – Update Now

2025/08/21 CyberSecurityNews — Apple が公開した、iOS／iPadOS 向けの緊急セキュリティ・アップデートは、基盤となる Image I/O フレームワークに存在する、深刻なゼロデイ脆弱性を修正するものだ。この脆弱性 CVE-2025-43300 は、高度な標的型攻撃における、実際の悪用が確認されている。

Apple のゼロデイ脆弱性 CVE-2025-31200／31201 が FIX：サイバースパイによる悪用を確認

Urgent Apple Security Patch: Zero-Day Exploits Target iPhones

2025/04/16 SecurityOnline — Apple が公表したのは、macOS／iOS／iPadOS／tvOS／visionOS などで構成される、エコシステム全体を対象とする緊急セキュリティ・アップデートのリリースに関する情報である。それにより、２つのゼロデイ脆弱性が修正されたが、すでに特定の iPhone ユーザーを標的とする、極めて高度な攻撃で積極的に悪用されているという。

Apple の深刻な３つの脆弱性：iOS 16.7.11／iPadOS 16.7.11／macOS 14.7.5 などにパッチ・バックポート

Apple Backports Fixes for Three Actively Exploited Zero-Days Targeting Older Devices

2025/04/01 SecurityOnline — Apple が公表したのは、標的型攻撃で悪用された３つのゼロデイ脆弱性に対処するために、iOS／iPadOS／macOS の旧バージョン向けにバックポートされた、セキュリティ・パッチをリリースに関する情報である。この脆弱性は、2025年3月の時点で修正されたものだが、今回のリリースにより、iOS 16.7.11／iPadOS 16.7.11／iOS 15.8.4／iPadOS 15.8.4／macOS Sonoma 14.7.5 でも修正されたことになる。Apple は、「iOS バージョン 17.2 以下に対して、この脆弱性が、積極的に悪用された可能性があるという報告を認識している」と、更新されたアドバイザリで明らかにした。

iOS／iPadOS の深刻な脆弱性 CVE-2025-24200 が FIX：標的型攻撃での悪用を確認

Apple Issues Emergency Updates to Patch Actively Exploited Zero-Day Vulnerability – CVE-2025-24200

2025/02/10 SecurityOnline — 2025年2月10日 (月) に Apple は、iOS／iPadOS の緊急セキュリティ・アップデートをリリースし、標的型攻撃で積極的に悪用されているゼロデイ脆弱性に対処した。この脆弱性 CVE-2025-24200 の悪用に成功した攻撃者は、ロックされたデバイスで USB 制限モードを無効化し、機密データへのアクセスを取得する可能性を手にする。

macOS Kernel の脆弱性 CVE-2025-24118 (CVSS 9.8) が FIX：PoC も提供

PoC Exploit Released for macOS Kernel Vulnerability CVE-2025-24118 (CVSS 9.8)

2025/02/02 securityonline — Apple の macOS カーネル (XNU) で発見された競合状態を悪用する攻撃者は、権限の昇格とメモリ破壊を達成し、カーネル・レベルでのコード実行の可能性を得ると、MIT CSAIL のセキュリティ研究者 Joseph Ravichandran (@0xjprx) が指摘している。この脆弱性 CVE-2025-24118 (CVSS：9.8：Critical) は、macOS Sonoma 14.7.3／macOS Sequoia 15.3／iPadOS 17.7.4において、すでに修正されている。

Apple 製品群のゼロデイ脆弱性 CVE-2025-24085 が FIX：悪用を観測

CVE-2025-24085: Apple Patches Actively Exploited Zero-Day Vulnerability

2025/01/27 SecurityOnline — Apple がリリースし緊急セキュリティ・アップデートは、 iOS／iPadOS／macOS／tvOS／watchOS／visionOS に影響を及ぼす、ゼロデイ脆弱性 CVE-2025-24085 (CVSS：7.8) に対処するものだ。この脆弱性が悪用されると、デバイス上の高権限が、悪意のアプリケーションにより獲得する可能性がある。すでに iPhone ユーザーを標的にした、実環境での悪用が確認されている。

iOS／iPadOS 深刻な脆弱性が FIX：VoiceOver アシスタントがパスワードを読み上げる！

Apple Releases Critical iOS and iPadOS Updates to Fix VoiceOver Password Vulnerability

2024/10/05 TheHackerNews — Apple がリリースした、iOS／iPadOS に対するアップデートにより、２つのセキュリティ問題が対処された。そのうちの１つは、ユーザーのパスワードが、VoiceOver アシスタント技術により読み上げられる可能性があるというものだ。この脆弱性 CVE-2024-44204 は、多数の iPhone／iPad に影響を及ぼす、新しいパスワードアプリのロジックの問題だと説明されている。この脆弱性を発見／報告したのは、セキュリティ研究者 Bistrit Daha である。

Apple の深刻な脆弱性 CVE-2024-27801 が FIX：PoC が公開！

CVE-2024-27801: Critical Vulnerability Discovered in Apple Ecosystem, PoC Published

2024/06/11 SecurityOnline — Apple の macOS Sonoma／iOS／iPadOS／visionOS などに存在する、脆弱性 CVE-2024-27801 に対して、あるセキュリティ研究者が PoC エクスプロイトを公開した。この脆弱性の悪用に成功した攻撃者は、特権を昇格させた悪意のアプリを介して、システム・サービス／機密情報への不正アクセスを達成する可能性を持つ。

Apple Shortcuts の脆弱性 CVE-2024-23204 が FIX：ただちにパッチ適用を！

Apple Shortcuts Vulnerability (CVE-2024-23204): Technical Analysis and Mitigation

2024/02/22 SecurityOnline — 先日にパッチが適用された、Apple の自動化フレームワークである Shortcuts の脆弱性 CVE-2024-23204 は、macOS／iOS デバイスに重大なリスクをもたらすものだ。影響を受けるシステムは、Apple の TCC (Transparency, Consent, and Control) フレームワークをバイパスする可能性があるため、データ流出が発生する可能性が高くなる。

iLeakage というサイドチャネル攻撃：Apple A／M Series 上の Safari から機密情報を抽出

iLeakage: New Safari Exploit Impacts Apple iPhones and Macs with A and M-Series CPUs

2023/10/26 TheHackerNews — iLeakage と呼ばれる新しいサイドチャネル攻撃を、ある研究者グループが考案した。それは、Apple iOS／iPadOS／macOS デバイスで動作する A／M Series CPU の脆弱性を悪用して、Safari から機密情報を抽出するものだ。この最新の研究について、研究者である Jason Kim／Stephan van Schaik／Daniel Genkin／Yuval Yarom は、「攻撃者は Safari に任意の Web ページを表示させ、投機的実行を使用して、その中に存在する機密情報を抽出することが可能になる」と述べている。

Apple iOS ゼロデイを狙う Triangulation：巧妙な手口と検出回避のテクニックとは？

iOS Zero-Day Attacks: Experts Uncover Deeper Insights into Operation Triangulation

2023/10/24 TheHackerNews — Apple iOS デバイスを標的とする TriangleDB というインプラントは、少なくとも４種類のモジュールを搭載するようだ。その内容は、マイクの録音／iCloud Keychain の抽出／SQLite データベースからのデータの窃取／位置情報の窃取などと推定されている。この Operation Triangulation と名付けられたキャンペーンを操る敵対者は、侵害したデバイスから機密情報を密かに盗み出す一方で、その痕跡を隠蔽するために多大な労力を費やしたと、Kaspersky は詳述している。

Apple にゼロデイ CVE-2023-41064／CVE-2023-41061：スパイウェアが狙っている

Apple discloses 2 new zero-days exploited to attack iPhones, Macs

2023/09/07 BleepingComputer — Apple がリリースした緊急のセキュリティ・アップデートは、iPhone／Mac ユーザーを狙う攻撃で悪用されている、２つの新たなゼロデイ脆弱性を修正するものだ。同社のアドバイザリには、「Apple は、この問題が積極的に悪用された可能性があるという報告を認識している」と記されている。それぞれの脆弱性は、Walletフレームワークの CVE-2023-41061 と、Image I/O の CVE-2023-41064 である。

Apple が大規模なセキュリティ・アップデートを実施：カーネルの脆弱性 CVE-2023-38606 などが FIX

Apple Patches Another Kernel Flaw Exploited in ‘Operation Triangulation’ Attacks

2023/07/24 SecurityWeek — 7月24日に Apple は、同社の主力プラットフォームである iOS／macOS／iPadOS に対して、大規模なセキュリティ・アップデートを行なった。今回のアップデートには、iOS／macOS におけるコード実行の深刻な脆弱性に対するパッチも含まれている。また、Apple によると、iOS／iPadOS／macOS 搭載デバイスに影響する、カーネルの脆弱性 CVE-2023-38606 は、iOS 15.7.1 以下において、すでに活発に悪用されていたという。

Apple が iOS／macOS／Safari のゼロデイ脆弱性に対応：ゼロクリックで RCE という強敵

Apple addressed actively exploited zero-day flaws in iOS, macOS, and Safari

2023/06/22 SecurityAffairs — Apple は、iOS／iPadOS／macOS／watchOS／Safari で発見された脆弱性のうち、野放し状態で活発に悪用されている脆弱性に対処した。具体的に言うと、先日に公開された Triangulation オペレーションでも悪用されていた、セロデイ脆弱性 CVE-2023-32434／CVE-2023-32435 である。Kaspersky の研究者たちは、Triangulation オペレーションを調査し、iOS デバイスにスパイウェアを配信するために採用された、エクスプロイト・チェーンに関する詳細を発見した。6月の上旬に Kaspersky の研究者たちは、Triangulation という名の長期的なキャンペーンの一環として、ゼロクリックのエクスプロイトで iOS デバイスを標的にする未知の APT グループを発見している。

macOS／iOS のリモート・コード実行の脆弱性が FIX：CVE-2022-40303／CVE-2022-40304

Apple out-of-band patches fix remote code execution bugs in iOS and macOS

2022/11/10 SecurityAffairs — Apple は、iOS／macOS 用の不定期パッチをリリースし、XML ドキュメント解析のための libxml2 ライブラリに存在する、２つのコード実行の脆弱性 CVE-2022-40303／CVE-2022-40304 に対処した。これらの２つの脆弱性は、Google Project Zero のセキュリティ研究者たちにより発見された。この脆弱性の悪用に成功したリモートの攻撃者は、アプリの想定外の終了や、任意のコード実行が可能になる。

iPhone／iPad のゼロデイ脆弱性にパッチ適用：iOS 16.1 への移行を急ごう

Apple fixes new zero-day used in attacks against iPhones, iPads

2022/10/24 BleepingComputer — Apple は、月曜日に公開されたセキュリティ・アップデートにおいて、今年の iPhone 攻撃に悪用された、９つ目のゼロデイ脆弱性を修正した。今日のアドバイザリで Apple は、「このセキュリティ上の脆弱性が積極的に悪用されている可能性があるとする、レポートの存在を認識している」と述べている。この脆弱性 CVE-2022-42827 は、匿名の研究者が Apple に報告したものであり、メモリバッファの境界の外にデータを書き込む、境界外書き込みの問題に関するものだ。

Apple iOS／iPadOS／macOS／tvOS／watchOS における 37件の脆弱性が FIX

Apple fixes multiple flaws in iOS, iPadOS, macOS, tvOS, and watchOS devices

2022/07/21 SecurityAffairs — Apple は、iOS／iPadOS／macOS／tvOS／watchOS を搭載する各デバイスに、影響を与える 37件の脆弱性を修正するセキュリティ・アップデートを公開した。今回、Apple が対応した欠陥には、任意のコードの実行／特権の昇格／サービス拒否 (DoS)／情報漏えいなどにつながるものが含まれる。

Microsoft が詳述：Apple iOS／macOS のサンドボックス・エスケープの脆弱性

Microsoft Details App Sandbox Escape Bug Impacting Apple iOS, iPadOS, macOS Devices

2022/07/14 TheHackerNews — 水曜日に Microsoft は、Apple の OS に影響を及ぼすセキュリティ脆弱性 (パッチ適用済み) について詳細を明らかにした。この脆弱性の悪用に成功した攻撃者は、対象デバイスで特権へ昇格し、マルウェアを展開できるようになる。Microsoft 365 Defender Research Team の Jonathan Bar Or は、「攻撃者は、このサンドボックス脱出の脆弱性を悪用し、影響が生じるデバイス上で昇格した特権を取得し、悪意のコマンド実行により、追加のペイロードをインストールできる」と記述している。

Apple Safari の WebKit に脆弱性：same-origin ポリシー違反による情報漏洩

Safari bug leaks your Google account info, browsing history

2022/01/17 BleepingComputer — Safari の WebKit エンジンに搭載されている、IndexedDB API の実装に問題が発見された。この欠陥を悪用された場合、リアルタイムでの不正な閲覧活動や、ユーザーの個人情報などが漏洩する可能性がある。IndexedDB は、広く使われているブラウザの API であり、容量制限のない汎用性の高いクライアント・サイドのストレージ・システムである。