iOS 26.6.1の修正は29件、うち21件がWebKit——その偏りには理由がある

一文のリリースノートと、その裏の付録

Appleは8月17日月曜、iOS 26.6.1とiPadOS 26.6.1を公開し、あわせてvisionOS 26.6.1とmacOS 26.6.2を配信した。前のブランチにとどまっている端末向けには、iOS 18.7.10とiPadOS 18.7.10も提供している。iPhoneの画面に出るリリースノートは、このアップデートにセキュリティ修正が含まれるとだけ伝える。

この一文は、新機能を伴わない修正に対してAppleが使う定型文であり、インストールの時点では意図的に何も語らない。詳細は同時に公開される別のサポート文書にあり、そこには脆弱性が識別子と対象の構成要素ごとに並ぶ。iOS 26.6.1について、この一覧は29件を数える。対象はiPhone 11以降である。

一つの構成要素に21件

29件のうち21件がWebKitにある。これは静かな月にたまたま生じた偏りではない。iPhoneのセキュリティアップデートとしてはごく普通の形であり、iOSの成り立ちについて構造的なことを語っている。

WebKitは、HTML、CSS、JavaScriptをピクセルに変える描画エンジンである。iPhoneでは、Safariを動かしているだけではない。メールの中の、メッセージの中の、App Storeの製品ページの中の、そしてブラウザを内蔵するサードパーティ製アプリの中のWeb表示を描いている。さらにこのプラットフォームの歴史の大半を通じて、iOS上の競合ブラウザもまた、自社のエンジンではなくAppleのエンジンを使うことを求められてきた。つまり一つの構成要素が、iPhoneが表示するもののかなりの部分を引き受けている。

そしてこれは、設計上、見知らぬ他人が書いたコードを実行する構成要素でもある。写真ライブラリが解析するのは利用者が自分で取り込んだファイルだが、WebKitが解析するのは任意のページが送りつけてきたものだ。この非対称性こそ、Appleに限らずあらゆるOSで描画エンジンが脆弱性の件数を占め続ける理由であり、遠隔から電話が侵害される事例の多くが、パスワードではなく描画の不具合から始まる理由でもある。件数の偏りは、WebKitが特別に脆いことを意味するのではなく、攻撃面がそこに集まっていることを意味する。

Appleの文書は、ブラウザの外にある不具合にも名前を与えている。ネットワーク上ですでに特権的な位置にいる攻撃者が通信を傍受しうるIPSecの認証回避、悪意を持って細工されたWebコンテンツの処理時にアプリを異常終了させうるSafariの境界外アクセス、遠隔の攻撃者がシステムの予期しない終了を引き起こしうる解放済みメモリの使用などである。

「悪用は確認されていない」が実際に意味すること

Appleは、今回修正された不具合のいずれについても、悪用されたことは確認されていないとしている。この言い回しは正確であり、正確に読む価値がある。

意味するのは、修正の配信前にこれらの不具合が実際の利用者に対して使われた形跡をAppleが持っていない、ということだ。それを指し示す解析報告も、インシデントの兆候もない。確認されていないという言い方は、存在しないという言い方とは違う。誰も知らなかったという意味ではないし、リスクが机上のものだという意味でもない。修正が公開されれば、修正そのものが地図になる。修正後のコードを直前の版と比べる作業は、研究者にとっても、あまり友好的でない側にとっても、不具合を復元する常道である。公開から広く適用されるまでの期間は、それまで悪用されていなかった脆弱性が悪用されるものに変わる可能性が最も高い時間帯だ。

実際に悪用の形跡がある場合、Appleは同じ文書の中でそれを明示する。特定の個人を狙った高度な攻撃で悪用された可能性があるという報告に触れる一文が、通常その役割を果たす。今回その一文がないことには意味がある。ただしそれが描いているのは過去であって、これからの数週間ではない。

二本の保守ラインが示すもの

月曜の配信でもっとも静かに多くを語っているのは、iPhoneのアップデートではない。iOS 18.7.10のほうである。

Appleは現行ブランチと一つ前のブランチを並行して保守しており、最新版を動かせない端末にもセキュリティ修正が届くようにしている。慣行としては定着したやり方だが、一つ前のブランチが番号付きの修正を受け取り続けていること——iOS 26のサイクルが始まっておよそ一年で、その十番目である——は、対象となる端末の数が、その工数に見合うだけまだ大きいとAppleが判断していることを示している。

古いiPhoneや、iPadOS 18で止まったiPadを使う人にとって、実務上の帰結は単純である。端末は見捨てられてはいないが、セキュリティ修正だけが届き、それ以外は何も届かない道の上にいる。新機能はなく、新しい機能的な余地もなく、やがてAppleがそのブランチを閉じればアップデート自体が止まる。その道の終わりは、事前に告知されない。

iOS 27まで数週間

この修正は、暦の上で居心地の悪い位置に届いた。iOS 26.6は7月27日に、はるかに長い一覧——iOSとiPadOSを合わせて90件近い脆弱性——とともに公開されており、iOS 27は9月のiPhoneイベントとあわせてこの秋に見込まれている。

サイクル終盤の修正を、次のメジャーバージョンの地ならしとして読みたくなる。だが、そうではない。セキュリティのみの配信が塞ぐのは、人々が今日使っているブランチの穴である。その恩恵を受けるのは、出たばかりのメジャーバージョンを最初の数週間で入れることのない多くの利用者と、そもそもメジャーバージョンを早々に入れることのない少なくない人々だ。彼らは何か月も26系にとどまる。月曜のアップデートは、まっすぐ彼らに向けられている。

7月の配信については、iOS 27の前に、iOS 26.6を先に更新したい理由で詳しく扱った。26.6.1はその続きであって、次の版の予告ではない。

今週やっておくこと

入れることだ。iPhoneとiPadでは、設定 › 一般 › ソフトウェア・アップデートにある。Macでは、システム設定 › 一般 › ソフトウェア・アップデートにmacOS 26.6.2が現れる。

注意しておきたい点が二つある。一つは、自分の端末が実際にどちらのブランチにいるのかを、守られていると考える前に確かめること。18.7.10と表示されるiPhoneは最新の状態だが、それは古いほうの道の上での話である。もう一つは、自動アップデートを切っている場合——予告のないインターフェースの変更を嫌う人にはよくある選択だ——セキュリティのみの配信は、その好みが得るものより失うもののほうが大きくなる、まさにその種のアップデートだということ。26.6.1には、ボタンの位置を動かすものは何もない。