iOS 26.6.1のアップデートをした

by
  • iOS 26.6.1 は新機能のないアップデートで、設定画面に出る説明は2文だけ。何を直したのかは書かれていない。
  • 説明文からリンクされた先には、29件の修正が並んでいる。細工した画像を処理するだけで任意のコードが実行される穴が1件、Safariの表示エンジンの穴が21件。
  • 「アップデートを準備中」「アップデートを検証中」は、ダウンロードしたものを新しいシステムに組み立て直して、署名を確かめている時間。始めてから終わるまで30分かかった。
  • 自動アップデートはオンにしてある。それでも公開から2週間、この端末には降りてこなかった。

関連記事

1. 説明が2行しかない

朝、設定アプリのアイコンに赤いバッジが1つ付いていました。

1. 説明が2行しかない

開くと、いちばん上に「ソフトウェアアップデートあり」。

1. 説明が2行しかない

タップした先が、これです。

1. 説明が2行しかない

iOS 26.6.1、468.2MB1。
説明は「このアップデートには、iPhone用のセキュリティ修正が含まれています」の一文と、Appleのサイトへのリンクだけ。
新しい機能の話は一行もない。

理由は、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開も説明もしない、という方針です2。

そのリンクを開いてみたら、29件の修正が箇条書きで並んでいました3。

2. 画像を開くだけ、では済まない29件

2.1. ImageIOは、開かなくても動き出す

いちばん目を引いたのが ImageIO の1件です。
影響は「画像を処理すると任意のコードが実行される可能性」、原因は整数オーバーフロー4。

ImageIOは、iPhoneが画像を読み書きするときに必ず通る部品です。
写真アプリだけでなく、メールもメッセージもSafariも、画像を表示するときはここを呼びます。

引っかかったのは「処理すると」という言い方でした。
「開くと」ではない。
メッセージに届いた画像を、一覧のサムネイルとして小さく表示する、あの瞬間にもデコード処理は走ります5。

同じ ImageIO でもう1件、こちらは画像を処理するとサービス運用妨害を受ける、つまり落ちるだけの穴も直っています6。
落ちるだけで済むほうがまだましだ、と思えてくるのが不思議なところ。

2.2. 21件がWebKitに寄っている

29件のうち21件は WebKit（ウェブキット）関連です7。
WebKitはSafariが画面を描くときに使う表示エンジンで、HTMLを解釈して文字や画像を並べる部分を担当しています。

ここが面白いのは、iPhoneではSafari以外のブラウザも中身はWebKitだという点です。
ChromeもEdgeもFirefoxも、iOS版はガワが違うだけで、ページを描いているのは同じエンジン。
2024年からEU域内では別エンジンを使う道が開きましたが、日本で普通に使っているぶんには、ブラウザを変えてもWebKitからは出られません8。

だから WebKit の修正21件は、「Safariを使っていないから関係ない」とはならない。
リンクを踏んだ先のページが仕込まれていれば、どのブラウザで開いても同じ穴に当たります。

残りには、カーネルの3件と、Telephony の1件がありました。
Telephony のほうは、有利な位置にいるネットワーク攻撃者がIPSec認証を回避して通信を傍受できる、というもの9。
公衆Wi-Fiの話を思い出す内容ですが、これも含めて、実際に悪用された形跡があるとは書かれていません10。

3. パスコード、準備中、検証中の30分

「今すぐアップデート」を押すと、まずパスコードを聞かれます。

3. パスコード、準備中、検証中の30分

承認すると「アップデートを要求しました」に変わり、しばらくして「アップデートを準備中」。

3. パスコード、準備中、検証中の30分
3. パスコード、準備中、検証中の30分
3. パスコード、準備中、検証中の30分

このバーが伸びているあいだ、端末は落としてきた差分から新しいシステムを組み立てています。
468MBはOS全体の大きさではなく、今のバージョンとの差分。

組み立てが終わると「ダウンロード済み」になり、4秒後にインストールを始める、という予告が出ました。

再起動がかかって、ロック画面に「アップデートを検証中」。

ここで何を検証しているのか。
iPhoneのシステム領域は署名で封をされていて、起動のたびに、その署名をたどって改ざんされていないかを確かめてから動き出します11。
アップデートは、その封を作り直す作業です。
新しいシステムに正しい署名が付いているかを見ているのが、この待ち時間12。

10時31分にバッジを見つけて、終わったのが11時1分でした。

3. パスコード、準備中、検証中の30分

30分。
充電しながらとはいえ、その間iPhoneはほとんど使えません。

4. 自動アップデートはオンだった

この iOS 26.6.1 が公開されたのは8月17日です。

Appleは公開したその日に全員へ配るのではなく、しばらくかけて順に広げていきます13。
サーバーの混雑を避ける意味もあれば、問題が出たときに被害を小さくする意味もある。
自動アップデートの条件も、Wi-Fiにつながっていて、充電中で、寝ている時間帯であること。
条件がそろわなければ、いつまでも順番が来ません。

ただ、Safariまわりだけなら、OSの更新を待たずに配る別の道が用意されています。
iOS 26.1 から Background Security Improvements という名前になった仕組みで、以前のラピッドセキュリティ対応の後継です14。
WebKitのような部品に限って、小さなパッチを黙って入れてしまう15。
設定はソフトウェアアップデートの中ではなく、プライバシーとセキュリティの下にあります16。

  1. 公開は2026年8月17日。対象は iPhone 11 以降、iPad Pro 12.9インチ（第3世代）以降、iPad（第8世代）以降など。 – Appleセキュリティアップデート
  2. Appleは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまではセキュリティ上の問題を公開・説明・是認しない、とセキュリティアップデートのページ冒頭に記している。 – Appleセキュリティアップデート
  3. 内訳は Audio 1件、ImageIO 2件、IOGPUFamily 1件、Kernel 3件、Telephony 1件、残りが WebKit 関連。 – iOS 26.6.1 および iPadOS 26.6.1 のセキュリティコンテンツについて
  4. CVE-2026-65346。入力検証を強化して整数オーバーフローに対処した、と説明されている。 – iOS 26.6.1 および iPadOS 26.6.1 のセキュリティコンテンツについて
  5. 不審なアプリを入れる必要も、怪しいボタンを押す必要もなく、画像がプレビューされる経路さえあれば成立しうる、という指摘がある。 – iOS 26.6.1で脆弱性29件を修正 「画像を開くだけ」のコード実行と、21件がWebKitに集中した意味
  6. CVE-2026-65347。なお2025年8月には、ImageIOのゼロデイ脆弱性 CVE-2025-43300 が標的型攻撃で実際に悪用されている。 – 「ImageIO」のゼロデイ脆弱性は古い「iPadOS」や「macOS」にも影響
  7. WebKit本体のほか、WebKit History や WebKit Storage といった枝分かれした部品の修正も含まれる。 – iOS 26.6.1 and macOS Tahoe 26.6.2 Fix Nearly 30 Security Vulnerabilities
  8. AppleはEUのデジタル市場法に対応して、2024年からブラウザアプリとアプリ内ブラウザにWebKit以外のエンジンを使う仕組みを用意した。 – Apple announces changes to iOS, Safari, and the App Store in the European Union
  9. CVE-2026-65329。状態管理の改善で対処された。カーネルの3件は、リモートからの強制終了、カーネルメモリの読み取り、メモリ破損。 – iOS 26.6.1 および iPadOS 26.6.1 のセキュリティコンテンツについて
  10. 報道でも、今回の脆弱性で実際の攻撃に使われたと分かっているものは無いとされている。 – iOS 26.6.1 and macOS Tahoe 26.6.2 Fix Nearly 30 Security Vulnerabilities
  11. システムボリュームはルートノードのハッシュ値で封じられていて、この値はシールと呼ばれる。シール1つに、その中のすべてのバイトが含まれる。 – 署名済みシステムボリュームのセキュリティ
  12. Appleは、iOSのソフトウェアアップデート中にシステムボリュームが準備されて再計算され、シールがAppleの署名した値と一致するかを検証する、と説明している。 – 署名済みシステムボリュームのセキュリティ
  13. 段階的に配信されるため、公開直後には通知が届かない端末がある。 – 画像で解説！iPhoneアップデートの手順
  14. Safariブラウザ、WebKitフレームワーク、その他のシステムライブラリ向けの軽いセキュリティリリース。iOS 26.1 以降で使える。 – About Background Security Improvements for iOS, iPadOS, and macOS
  15. ラピッドセキュリティ対応からの改称にあたって、手動での更新を必要とせず端末に適用される形に変わった。 – Apple rebrands Rapid Security Responses in iOS 26.1 beta with new ‘Background’ updates
  16. この設定の自動インストールを切ると、次のソフトウェアアップデートに含まれるまで適用されない。 – About Background Security Improvements for iOS, iPadOS, and macOS