この記事でわかること
- iOS／iPadOS 27.2.1、macOS Golden Gate 27.2.1、watchOS 27.2.1で直った脆弱性の中身
- 自分の端末が対象か、iOS 27にしていない機種向けの更新はあるか
- 端末ごとのアップデート方法と、Macの証明書問題についての補足
AppleがiOS 27.2.1などを公開、iMessageとBluetoothまわりを修正
Appleは2026年11月9日（米国時間、日本時間11月10日）、iOS 27.2.1とiPadOS 27.2.1、macOS Golden Gate 27.2.1、watchOS 27.2.1を公開しました。10月26日のiOS 27.2から約2週間での小さな更新で、新機能はありません。リリースノートには「バグ修正とセキュリティアップデート」としか書かれていませんが、同日公開のAppleのセキュリティ情報を見ると、iOS／iPadOS 27.2.1だけで9件の脆弱性が修正されています。
中心になっているのは、iMessageのグループチャットに関する2件と、BluetoothやAirPlayで機器をペアリングする仕組みの修正です。Appleのセキュリティ情報には、これらが実際の攻撃に使われたという記載はありません。ただ、修正内容はもう公開済み。対象の端末なら、早めに入れておきたいアップデートです。
iMessageのグループに、招かれていない相手が入れた可能性
iPhone、iPad、Mac、Apple Watchに共通する修正のうち、日常の使い方にいちばん近いのがiMessageの2件です。
1件目は、離れた場所にいる攻撃者がiMessageのグループチャットに加わり、そこでやり取りされるメッセージを受け取れるおそれがあったというもの（CVE-2026-113961）。Appleは権限の確認に問題があったとして、検証を強化して直しています。
2件目は、グループに追加された人が、自分が入る前に送られていたメッセージまで読めるおそれがあった問題です（CVE-2026-113960）。こちらは、問題のあるコードを取り除く形で対処されました。家族や仕事の連絡をiMessageのグループでしているなら、無関係ではありません。
BluetoothとAirPlayのペアリングにも複数の修正
残りの修正の多くは、近くの機器とつなぐ仕組みに関するものです。AirPlay対応のテレビやBluetooth機器を初めてつなぐとき、画面に出たコードを入力して相手を確認することがあります。このコードを何度も試されないようにする「試行回数の制限」をすり抜けられる問題が、複数見つかりました。
| 項目 | 修正された問題（Appleの説明を要約） | CVE |
|---|---|---|
| AirPlay | Bluetoothの電波が届く範囲にいる攻撃者が、ペアリングコードの試行回数制限を回避できるおそれ | CVE-2026-113968 |
| rapportd | 同じネットワーク上の攻撃者が、AirPlayのペアリングコードの試行回数制限を回避できるおそれ | CVE-2026-113969 |
| CoreUtils | 悪意のあるBluetooth機器が、ユーザーの操作なしにペアリングを確立できるおそれ | CVE-2026-113965 |
| CoreUtils | Bluetoothの範囲内にいる攻撃者が、試行回数制限を回避し、ユーザーの操作なしにペアリングできるおそれ | CVE-2026-113964 |
| Bluetooth | Bluetoothの範囲内にいる攻撃者が、プロセスのメモリを破損させられるおそれ | CVE-2026-113970 |
どれも、攻撃者が電波の届く距離や同じネットワークにいることが前提です。離れた場所から狙えるとされるiMessageの問題とは、条件が違います。表のうちAirPlay、rapportd、Bluetooth、CoreUtilsの1件（CVE-2026-113965）の計4件は、Apple自身が見つけたものとして記載されています。
このほか、データの圧縮・展開に使われるbrotliで、細工されたデータを処理するとメモリが破損するおそれがあった問題（CVE-2026-111497）と、アプリが機密性の高いユーザーデータにアクセスできるおそれがあったApp Intentsの問題（CVE-2026-113963）も修正されています。
対象機種と、iOS 27にしていない端末向けの更新
Appleのセキュリティ情報に記載された対象と修正件数は次のとおりです。
| アップデート | 対象（Appleの記載） | 修正件数 |
|---|---|---|
| iOS 27.2.1／iPadOS 27.2.1 | iPhone 11以降、iPad Pro 12.9インチ（第4世代）以降、iPad Pro 11インチ（第2世代）以降、iPad Air（第4世代）以降、iPad（第9世代）以降、iPad mini（第6世代）以降 | 9件 |
| macOS Golden Gate 27.2.1 | macOS Golden Gateを使っているMac | 8件（App Intentsの項目なし） |
| watchOS 27.2.1 | Apple Watch Series 9以降 | 9件 |
| iOS 26.7.3／iPadOS 26.7.3 | iPhone 11以降、iPad Pro 12.9インチ（第3世代）以降、iPad Pro 11インチ（第1世代）以降、iPad Air（第3世代）以降、iPad（第8世代）以降、iPad mini（第5世代）以降 | 8件（App Intentsの項目なし） |
| iOS 18.7.12／iPadOS 18.7.12 | iPhone XS、iPhone XS Max、iPhone XR、iPad（第7世代） | 6件 |
macOS Golden Gate 27.2.1とwatchOS 27.2.1の修正内容は、iOS 27.2.1とほぼ同じです。
iOS 26を使い続けているiPhoneやiPadには、iOS／iPadOS 26.7.3が用意されています。iPad Pro 12.9インチ（第3世代）やiPad（第8世代）、iPad mini（第5世代）など、iPadOS 27.2.1の対象に入っていないiPadもこちらの対象で、iMessageの2件を含む8件が修正されています。
iOS 27に対応していないiPhone XS、XS Max、XRとiPad（第7世代）には、iOS／iPadOS 18.7.12が届いています。こちらはBluetoothとAirPlayのペアリング関連が中心で、iMessageの2件は含まれていません。代わりに、端末を手元で操作できる人がロック画面からAirPlayの受信機器とペアリングできてしまう問題（MediaRemote、CVE-2026-113971）が修正されています。
Macでも、macOS Tahoe 26.7.3とmacOS Sequoia 15.8.3が同じ日に公開されました。ほかにwatchOS 26.6.1やvisionOS 27.2.1も出ています。
Macはcurlやgitの証明書問題にも対策
Mac向けの更新には、インドの認証局eMudhraの証明書問題への対策も入りました。eMudhraが運営する中間認証局の秘密鍵が侵害された問題で、Appleはサポート記事で、macOS 27.2.1からはmacOS付属やXcode Command Line Toolsのcurl、gitなどのコマンドラインツールも問題の証明書を受け付けなくなると説明しています。macOS 26やmacOS 15のMacでも、macOS 26.7.3とmacOS 15.8.3に同じ保護が入っています。この対策はmacOS Golden Gate 27.2.1のセキュリティ情報（CVEの一覧）には載っておらず、このサポート記事で案内されています。
SafariやMail、Appleの通信の仕組みを使うアプリでは、10月19日から問題の証明書が自動でブロックされています。今回の更新で対策が広がったのは、そのブロックが効いていなかったコマンドラインツールのほうです。ターミナルでcurlやgitを使う開発や管理の作業があるなら、上の3つのいずれかに更新すれば、証明書ファイルを手作業で編集する回避策は必要ありません。すぐに更新できないMac向けには、同じ記事に該当するルート証明書を外す手順が載っています。
アップデートの方法
どの端末も、通知を待たずに手動で確認できます。
- iPhone・iPad：「設定」→「一般」→「ソフトウェアアップデート」
- Mac：「システム設定」→「一般」→「ソフトウェアアップデート」
- Apple Watch：iPhoneの「Watch」アプリ→「一般」→「ソフトウェア・アップデート」
Apple Watchは、先にiPhoneを最新のiOSに更新し、iPhoneをWi-Fiにつないでおきます。Apple Watchのバッテリーは50％以上必要で、更新中は充電器につないだまま、iPhoneを近くに置いておきます。watchOS 27への更新には、iOS 27を入れたiPhone 11以降（またはiPhone SE（第2世代）以降）が必要です（Appleの案内）。
iMessageの修正はiPhone、iPad、Mac、Apple Watchのそれぞれに入っているので、複数の端末でiMessageを使っているなら、1台だけで済ませず全部更新しておく必要があります。
