xiaolong 
Appleは米国時間の2026年9月14日、iOS 27／iPadOS 27と、旧バージョンのiOS 26.7／iPadOS 26.7を同じ日に公開しました。Appleのセキュリティリリース一覧で2つの項目を見比べると、公開日はどちらも「14 Sep 2026」で、日本の案内では9月15日配信となっています。資料に載るCVE番号を私が拾い直して数えると、27系は126件、26.7系は82件で、件数だけで見るとかなりの開きに見えますね。今回はこの2つの数字を番号レベルで突き合わせて、差の44件の中身と、Bluetooth経由の遠隔コード実行、発見者欄に名前が出たClaude、旧版に留まる人が何を受け取るかを整理します。
番号で突き合わせると、重複75件・27だけ51件・26.7だけ7件
元になるのは、Appleが公開したiOS 27／iPadOS 27のセキュリティ情報とiOS 26.7／iPadOS 26.7のセキュリティ情報の2本です。私は各ページからCVE番号を抜き出して重複を除き、2つの集合がどこで重なるかを1件ずつ照合しました。すると75件は同じ番号が両方の資料に載っていて、残りは27だけが51件、26.7だけが7件に分かれ、単純な差の126−82＝44件は51件から7件を引いた数とちょうど一致しました。
率に直すと、26.7の82件のうち75÷82×100＝約91.5％の番号が27の資料にも登場します。逆に27の126件のうち51÷126×100＝約40.5％は27にだけ載る番号で、ここが新しいOSのぶんとざっくり呼べる部分です。ただし番号の一致は「両方に登場する」ことまでを保証して、番号の中身の同一性までは保証しません。この部分には少し癖があるので、最後のOne more thingで改めて触れます。
読み方の前提として、件数は資料に載った番号の数であって、深刻さの重さの合計ではありません。27だけの51件は新しい機能や実装に絡む問題が多いと推測できる一方で、26.7だけの7件は26系の古いコードに残っていた問題が27では該当しなかった、という並びです。つまり新旧どちらの版にも、その版でしか直らないぶんがちゃんと載っている、というのが突き合わせて分かった第一の結果でした。
Bluetoothの入口とカーネルの中核、影響文で読む
最初に入口の話をします。27の資料で目を引くのはBluetoothのCVE-2026-86879で、「遠隔の攻撃者がアプリの異常終了または任意コード実行を引き起こす可能性」と記載されています。発見者はKAIST（韓国科学技術院）のHazem Issa氏とYongdae Kim氏で、任意コード実行は攻撃者が用意した処理を端末側で動かせる種類の問題、接続が切れるだけの不具合とは影響の格が違います。
旧26.7側にも同じ影響文のBluetooth項目がありCVE-2026-65406で、Baidu SecurityのYe Zhang氏が報告者、新旧どちらの版でも常時オンにしておく無線の入口に遠隔から届く問題がそれぞれ直された形になりました。同じBluetoothでもCVE-2026-65414は印象が違い、27の資料では「アプリがBluetooth関連の情報へ不正アクセスし得る」という認可の不備を直す記載でした。派手な実行の話はないぶん地味ですが、イヤホンや車載機器と日々やり取りする入口の鍵のかかりを確認する修正と読めます。
「遠隔」という言葉は少し丁寧に扱います。資料は攻撃が成立する距離も事前のペアリングの要否も示しておらず、ここから世界中のどこでも操作できると話を広げることはできません。ただBluetoothは画面を開かなくても外とやり取りする経路なので、不審なサイトを開かないという注意とは別のところに効く問題です。資料の範囲で言える具体的な対応は、該当する更新を入れることにとどまります。
中核のカーネルに目を移すと、影響文を数えたかぎりで27の資料は「カーネルメモリを破壊し得る」向きが5件、「読み取り」「漏えい」「配置の特定」の向きが7件でした。破壊と読み取りは同じカーネルという言葉でも別種の影響で、前者はOSの中核の整合性、後者は見えてはいけない情報が覗けることなので、読み取った情報を別の攻撃に組み合わせる話を資料は語らない以上、2つを混ぜて乗っ取りと呼ぶのは早いところです。
中でも重い記載が2つあります。CVE-2026-84622は「悪意あるアプリがroot権限を得る可能性」で、報告者は日本のセキュリティ会社LACのHiroki Imaiさんです。もう一つのCVE-2026-84616は「サンドボックス内のアプリがカーネル権限で任意コード実行し得る」で、映像エンコーダーの部品が対象、26.7の資料にも同じ文面で載っています。アプリの隔離を抜けてOSの権限に届く話なので、今回の2本の更新の中では最重クラスの並びです。
発見者欄のClaudeは3件、8月の「速度」の話の続き
発見者の表記にも続く話があります。27の資料ではCVE-2026-65409（グラフィックス）とCVE-2026-65410（映像エンコーダー）の2件が「Calif.ioがClaudeとAnthropic Researchとの協力で報告」という形で載っています。26.7側のCVE-2026-43715はWebKitのCanvasが対象で、「Milad Nasr氏とNicholas Carlini氏、with Claude, Anthropic」の名前があり、悪意あるウェブ内容の処理でSafariが異常終了する問題でした。あわせて3件で、謝辞にAIの名前が並ぶ形です。
8月18日にiOS 26.6.1の29件を扱った前回の記事では、AIがバグを見つける速度に開発が追いつかない、という題を書きました。今回の26.7はその27日後に当たり、修正件数は82件で、26.6.1の29件の82÷29＝約2.8倍です。3件だけを取り出してAIの手柄を量るのは早計ですが、見つかる量が増えるほど1回の更新に詰め込まれる件数も増える、という構図は9月も続いています。
表記の正確さも付いて回ります。3件とも「in collaboration with」か「with」の形の表記でClaudeが単独で見つけたとは書かれておらず、人間の研究者の名前が前に来ているので、AIを使った研究が謝辞に載るのが普通になった、と読むのが資料に即した解釈です。
9月18日発売の18 Proは27で届く、旧iPadは26.7で受け取る
配信の時系列を並べると、今回は新しいiPhoneの発売と噛み合っています。iOS 27の配信は日本時間の9月15日で、配信日を整理した記事のとおり、9月9日の発表から6日後でした。iPhone 18 Proの予約は9月12日に始まって発売は9月18日、配信の3日後に店頭に並ぶ計算です。発表まとめの記事で書いたiPhone Duoは10月23日発売なので、こちらは最初から27系で使い始める形になりますね。
対応機種の並びも押さえておくと役に立ちます。27が対象にするのはiPhone 11以降と、iPad第9世代・iPad mini第6世代・iPad Air第4世代・iPad Pro（12.9インチは第4世代、11インチは第2世代）以降で、発売を待つ18 Proもここに含まれます。26.7は同じiPhone 11以降に加えて一段広く、iPad第8世代・mini第5世代・Air第3世代・iPad Pro（12.9インチは第3世代、11インチは第1世代）以降を含みます。27の対象から外れたiPadが数世代ぶん、26.7で同じ日の修正を受け取れる並びです。
新機能の様子見と修正の適用は分けて考えられます。仕事用アプリの都合で大きな更新を待つ人も、26.7が更新候補に出るなら先に82件を入れる選択が残っていて、番号が共通する75件はそちらにも届きます。更新は元のバージョンに戻せないとAppleが案内しているので、入れる人は事前のバックアップが手順になります。
小龍的にはこう思った
小龍的には、126件という数字は危険が増えた証拠ではなく、見つける力が上がった証拠に見えます。見つけられなかった時代は同じ穴が放置されていただけなので、件数の増加分は掘れる人が増えた副作用で、むしろ放置されていた頃の方が実態は悪かったことになります。8月に3週間で3回の更新と書いた構図が9月も続いていて、変わっているのは届く側が更新を押すまで恩恵が始まらない、という一点だけです。
だから旧版に留まる判断も、26.7を入れたうえで27の新機能だけを見送るまでは合理的です。修正を入れずに待つ選択は、直ったはずの穴を自分の端末にだけ残すことになります。数字の大小より、届いた修正を自分の端末に入れるかどうかの一段だけが、読者側で動かせる駒でしょうか。
画蛇添足 One more thing…
番号を突き合わせているうちに、ちょっと不思議な並びに当たりました。75件の共通番号のうち、影響の文面まで一致するのは26件で、残る49件は同じ番号に別の影響が付いています。たとえばCVE-2026-65414は27の資料ではBluetoothの項目、26.7の資料ではcopyfileの項目に載り、CVE-2026-65406は27ではBaseband、26.7ではBluetoothです。CVE-2026-84622も27ではroot権限の記載、26.7では型の混同による異常終了の項目になっていました。
どちらの資料が正しいのか、手元の2ページからは判別がつきません。影響文の食い違いは記載の揺れかもしれませんし、版ごとに番号の使い方が違うのかもしれません。ただ、CVE番号で機械的に照合するときは、どちらの資料の記載かを添えて読むのが安全です。
126件と82件は安全性の順位表ではなく、届いた修正の量です。Bluetooth、OSの中核、ウェブの表示に届く内容なので、新機能への関心とは別に更新を検討する理由になります。お手元の端末がどちらの候補を出すかは、設定アプリのソフトウェアアップデートで確かめられます。
記事は以上です。
（記事情報元：Apple）