xiaolong 
Appleは米国時間の2026年9月14日、iOS 27／iPadOS 27と、旧バージョンのiOS 26.7／iPadOS 26.7を同じ日に公開しました。Appleのセキュリティリリース一覧で2つの項目を見比べると、公開日はどちらも「14 Sep 2026」で、日本の案内では9月15日配信となっています。資料のCVE番号を拾い直すと、27系は126件、26.7系は82件と、かなりの開きですね。ただ、この2つの数字を引くだけでは、差の44件の中身は見えてきません。Bluetooth経由の遠隔コード実行や発見者欄のClaudeにも注目しながら、旧版に留まる人にどんな修正が届くのか、番号ごとに見比べてみました。
番号で突き合わせると、重複75件・27だけ51件・26.7だけ7件
照合に使ったのは、Appleが公開したiOS 27／iPadOS 27のセキュリティ情報とiOS 26.7／iPadOS 26.7のセキュリティ情報の2本で、各ページのCVE番号から重複を除き、2つの資料を1件ずつ突き合わせました。結果は、75件は同じ番号で、残りは27だけが51件、26.7だけが7件。単純な引き算の126−82＝44件は、51件から7件を引いた数に当たります。
率に直すと、26.7の82件のうち75÷82×100＝約91.5％の番号が27の資料にも登場する一方、27の126件のうち51÷126×100＝約40.5％は27にだけ載る番号で、ここが新しいOSの分と大まかに呼べる部分です。ただ、同じ番号でも資料に書かれた中身まで同じとは限りません。この食い違いは最後のOne more thingで触れます。
件数は資料に並んだ番号の数で、深刻さの合計とは別です。27だけの51件には新しい機能や実装に絡む問題が多いと推測でき、26.7だけの7件は26系の古いコードに残り、27では該当しなかった問題に当たります。突き合わせて分かったのは、新旧それぞれに、その版だけの修正があるということでした。
Bluetoothの入口とカーネルの中核を、影響の記述から読む
まず気になったのは、27の資料にあるBluetoothのCVE-2026-86879。「遠隔の攻撃者がアプリの異常終了または任意コード実行を引き起こす可能性」と記載されています。発見者はKAIST（韓国科学技術院）のHazem Issa氏とYongdae Kim氏。任意コード実行は、攻撃者が用意した処理を端末で動かせてしまう問題なので、接続が切れるだけの不具合とは、影響が大きく違いますね。
旧26.7にも影響の記述が同じBluetooth項目があり、Baidu SecurityのYe Zhang氏がCVE-2026-65406として報告しています。新旧どちらも、普段オンにしている無線経由で遠隔から攻撃される問題を修正しました。一方、27のBluetoothのCVE-2026-65414は「アプリがBluetooth関連の情報へ不正アクセスし得る」という認可の不備です。情報にアクセスできる範囲を正しく制限する修正で、イヤホンや車載機器と日々つながる機能だけに、地味でも大切な内容です。
ただし「遠隔」といっても、資料には攻撃が届く距離や事前のペアリングの要否は書かれていません。世界中のどこからでも操作できる、と読み替えるのは早計です。Bluetoothは画面を開かなくても外とやり取りするため、不審なサイトを避けるだけでは対処しきれない問題。利用者としては、該当する更新を入れておきたいところです。
カーネルの影響の記述を数えると、27の資料では「カーネルメモリを破壊し得る」が5件、「読み取り」「漏えい」「配置の特定」が7件でした。前者はOSの中核にあるメモリが壊される問題、後者は本来見えない情報が覗ける問題ですが、読み取った情報を別の攻撃に組み合わせるかどうかは資料に記載されていないため、この2つをまとめて「乗っ取り」と呼ぶのは早計です。
特に影響が大きいのは次の2つです。CVE-2026-84622は「悪意あるアプリがroot権限を得る可能性」で、日本のセキュリティ会社LACのHiroki Imaiさんが報告しました。もう一つは、映像エンコーダーのCVE-2026-84616。「サンドボックス内のアプリがカーネル権限で任意コード実行し得る」とあり、26.7の資料にも同じ文面が載っています。アプリの隔離を抜けてOSの権限に届くため、今回の2本の更新でも特に重く見たい修正です。
発見者欄のClaudeは3件、8月の「速度」の話の続き
発見者欄では、27のCVE-2026-65409（グラフィックス）とCVE-2026-65410（映像エンコーダー）の2件が「Calif.ioがClaudeとAnthropic Researchとの協力で報告」という表記でした。26.7のCVE-2026-43715はWebKitのCanvasが対象で、「Milad Nasr氏とNicholas Carlini氏、with Claude, Anthropic」との記載があり、悪意あるウェブ内容の処理でSafariが異常終了する問題でした。あわせて3件の謝辞にAIの名前が並びました。
8月18日にiOS 26.6.1の29件を扱った前回の記事では、AIがバグを見つける速度に開発が追いつかない、という話を書きました。今回の26.7はその27日後で、修正は82件。26.6.1の29件と比べると、82÷29＝約2.8倍に増えました。3件だけを取り出してAIの手柄を量るのは早計ですが、発見が増えれば1回の更新で直す件数も増えるという構図は、9月も続いています。
ただ、3件とも表記は「in collaboration with」か「with」で、人間の研究者の名前が先にあります。Claudeが単独で発見したという記載はありません。AIを使った研究が謝辞にも普通に顔を出すようになった、と私は読みました。
9月18日発売の18 Proは27で届く、旧iPadは26.7で受け取る
iOS 27の日本時間の9月15日配信は、配信日を整理した記事のとおり、9月9日の発表から6日後で、新しいiPhoneの発売直前でした。iPhone 18 Proは9月12日に予約が始まり、発売は9月18日なので、配信から3日後には店頭に並びます。発表まとめの記事で書いたiPhone Duoは10月23日発売なので、最初から27系で使い始めることになりますね。
対応機種を確認すると、27の対象はiPhone 11以降と、iPad第9世代・iPad mini第6世代・iPad Air第4世代・iPad Pro（12.9インチは第4世代、11インチは第2世代）以降で、発売を待つ18 Proも含まれます。26.7もiPhone 11以降が対象ですが、タブレットは範囲が広く、iPad第8世代・mini第5世代・Air第3世代・iPad Pro（12.9インチは第3世代、11インチは第1世代）以降を含みます。27の対象から外れた数世代分のiPadにも、26.7で同じ日の修正が届きました。
新機能は様子を見たい、でも修正は入れておきたい。仕事用アプリの都合で大きな更新を待つ人には、26.7が候補に出るなら先に82件を入れる選択があり、共通番号の75件も含まれています。Appleは更新前のバージョンに戻せないと案内しているので、まずはバックアップを取ってからですね。
小龍的にはこう思った
小龍的には、126件という数字をそのまま危険の増加と受け取るより、発見する人が増え、これまで残っていた穴を直せるようになった結果と見る方が、私にはしっくりきます。8月に書いた3週間で3回の更新という流れは9月も続きました。あとは、届いた修正を端末に入れるところまで進めたいですね。
26.7を入れて、27の新機能は様子を見るというのも、合理的な選択だと思います。ただ、修正まで見送れば、直せる穴が端末に残ってしまいます。数字の大小より、自分で決められるのは届いた更新を入れるかどうかですね。
画蛇添足 One more thing…
最後に気になったのが共通番号に記された影響で、75件のうち、影響の文面まで一致したのは26件だけでした。残る49件には、同じ番号に別の影響が書かれています。たとえばCVE-2026-65414は27の資料ではBluetoothの項目、26.7の資料ではcopyfileの項目に載り、CVE-2026-65406は27ではBaseband、26.7ではBluetoothです。CVE-2026-84622も27ではroot権限の記載、26.7では型の混同による異常終了の項目になっていました。
記載の揺れなのか、版によって番号の使い方が違うのか、手元の2ページだけではどちらが正しいのか判別できません。CVE番号を機械的に照合するだけでは見落とす点で、どの資料に書かれた影響なのかも一緒に確かめたいところです。
126件と82件は、それぞれ届いた修正の数で、Bluetooth、OSの中核、ウェブの表示に関わるだけに、新機能を使う予定がなくても更新する意味はあります。まずは設定アプリのソフトウェアアップデートで、自分の端末に届いている候補を確かめてみてください。
記事は以上です。
（記事情報元：Apple）