Appleは2026年11月9日にiOS／iPadOS 27.2.1を公開し、9件の脆弱性を修正した。約半数はBluetoothとAirPlayのペアリングに関するもので、近くの攻撃者がペアリングコードの試行制限を回避したり、利用者の操作なしにペアリングを確立したりできる問題が含まれる。iMessageのグループチャットへ招待なしに参加できる問題も修正された。対象はiPhone 11以降など
ペアリングというのは、本来は「初めまして」の儀式である。近くの機器同士が、お互いを確認し合ってから付き合いを始める。その儀式の受付が、今回はまとめて緩かった。コードの試行は止められず、相手の確認なしに付き合いが始まり、呼ばれていないのにグループの会話へ入れてしまう。派手な攻撃の話ではないが、日常の「つながる」という動作の土台に、静かに穴が並んでいた、という話である。
※個人の感想です
Appleのセキュリティ告知（2026年11月9日公開）によると、iOS 27.2.1とiPadOS 27.2.1で修正されたのは9件です。SecurityWeekの集計では、Appleは同日に旧系統向けを含む計9つのリリースを公開し、修正は合計10件とされています。内訳の中心は、近距離の無線通信に関するものでした。
主な項目は次のとおりです。
| CVE | 影響の概要（Appleの告知） |
|---|---|
| CVE-2026-113968 | Bluetoothの範囲内の攻撃者が、ペアリングコードの試行に対するレート制限を回避できる可能性 |
| CVE-2026-113965 | 悪意のあるBluetoothデバイスが、利用者の操作なしにペアリングを確立できる可能性 |
| CVE-2026-113964 | Bluetoothの範囲内で、レート制限の回避と、利用者の操作なしのペアリングが可能になる問題 |
| CVE-2026-113970 | Bluetoothの範囲内の攻撃者が、プロセスのメモリを破壊できる可能性（解放後使用） |
| CVE-2026-113969 | 同じネットワーク上の攻撃者が、AirPlayのペアリングコードのレート制限を回避できる可能性 |
| CVE-2026-113961 | 遠隔の攻撃者がiMessageのグループチャットに参加し、メッセージを受信できる可能性 |
| CVE-2026-113960 | グループチャットに参加する前のメッセージへアクセスできる可能性 |
| CVE-2026-113963 | アプリが機微な利用者データへアクセスできる可能性（App Intents） |
| CVE-2026-111497 | 悪意のある入力の処理でメモリが破壊される可能性（Brotli） |
ペアリングコードのレート制限とは、暗証番号のようなコードの入力試行を繰り返させないための歯止めです。この歯止めが効かないと、近くにいる攻撃者はコードの総当たりに近い試行ができてしまいます。さらにCVE-2026-113965のように、利用者の操作そのものが不要なケースでは、持ち主が気づかないうちに未知の機器とペアリングが成立し得ます。
iMessageの2件は性質が異なります。距離の制約がなく、遠隔からグループチャットへ参加できたり、参加前の会話を読めたりする問題で、プライバシーの観点ではこちらの方が気になる人も多いはずです。グループの会話は、招待された人同士の閉じた場であることが前提だからです。
iOS 27.2.1の対象は、iPhone 11以降、iPad Pro 12.9インチ（第4世代）以降、iPad Pro 11インチ（第2世代）以降、iPad Air（第4世代）以降、iPad（第8世代）以降、iPad mini（第6世代）以降です。同日には、macOS Golden Gate 27.2.1、watchOS 27.2.1、visionOS 27.2.1のほか、旧系統向けの更新も並んで公開されています。手持ちの機器がどの系統にいるかで、届く更新の版数が異なります。
更新は「設定」アプリのソフトウェアアップデートから行えます。今回の修正には、近くにいるだけで成立し得る攻撃への対処が含まれているため、後回しにする理由はあまりありません。更新が届いていない場合は、数日置いてから再度確認してください。配信のタイミングは機器や地域で異なります。
なお、ブラウザーの脆弱性のように日々悪用が報じられる種類の話とは違い、Appleの今回の告知には悪用の記載がありません。Chromeの悪用確認済みゼロデイのような緊急度の話ではなく、届いたら淡々と当てる種類の更新です。
IT Postでは、今回の顔ぶれは「派手な1件より、地味な儀式の緩さ」に注目すべきだと考えます。ペアリングは、機器同士が信頼関係を結ぶ入口です。入口の確認が緩いと、その後に暗号化や認証をどれだけ固めても、そもそも相手の選び方から間違える。セキュリティの教科書が「最初の確認が大事」と言い続けるのは、こういう事例があるからだ。
もう一つ、件数の読み方も大事だ。9件のうち約半数が同じ領域（近距離のペアリング）に固まっているのは、偶然の寄せ集めというより、その領域の実装をまとめて点検した結果が出てきた、と読むのが自然である。一つの穴が見つかると、周りの似た穴が芋づるで出てくるのは、この業界の常である。今回表に出たのは9件だが、点検の範囲がどこまでだったかは表からは分からない。だからこそ、更新を当てる側は理由を選ばず、当てておくのが正解になる。
利用者にとって実務は一つだけだ。更新を後回しにしないこと。特にBluetoothは、公共の場で常時有効にしている人が多い機能であり、近距離の攻撃という言葉の意味は、電車の中やカフェでも成立する、ということである。
Appleの慣例では、今回の修正内容は他の系統（旧バージョン向けの更新）にも順次反映されていきます。手持ちの機器に今回の版数が来ていない場合は、自分の系統向けの更新が出ているかを確認してください。
ペアリングまわりの問題は、今後も繰り返し見つかる可能性があります。機器同士が自動でつながる利便性と、確認を厳しくする安全性は、常に対立するからです。新しい近距離通信の機能が増えるほど、この種の点検と修正の往復は続くとみられます。利用者側にできることは、届いた更新を淡々と当てることに尽きます。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
Googleは2026年11月9日、デスクトップ版Chromeの安定版を157.0.8103.50／.51（Linuxは.50）へ更新し、セキュリティ修正9件を公開した。このうちXML処理の解放後使用（CVE-2026-125350、深刻度High）は、悪用するコードが実際に出回っているとGoogle自身が明記した。2026年に入って悪用が確認されたChromeのゼロデイは、報道集計で8件目になる
Ivantiは2026年11月10日の月例セキュリティ更新で、5製品の13件の脆弱性を修正した。中心はEndpoint Manager（EPM）のCoreにある無認証のSQLインジェクション（CVE-2026-121653、CVSS 9.8）で、修正は2024 SU8。Cloud Services Applicationには認証の欠落（CVSS 9.4）もある。Ivantiは、開示時点でEPM等の脆弱性が顧客環境で悪用されたことは認識していないとしている
Ciscoが2026年8月に公表したBroadWorksのXML外部実体（XXE）脆弱性（CVE-2026-20320、CVSS 7.5）について、米CISAが11月10日、実際の悪用の証拠に基づき実悪用カタログ（KEV）へ追加した。対象はRI.2026.07より前のリリースで、修正は同リリースへの更新のみ、回避策はない。連邦機関の対応期限は11月24日
Microsoftは2026年11月10日、11月の月例セキュリティ更新を公開。Tenableの集計では修正は1,093件（うち緊急63件）で、悪用が確認されたのはOutlookのなりすまし脆弱性CVE-2026-124194（CVSS 6.5）の1件のみだった。米CISAは同日、この穴を含む6件をKEVへ追加し、連邦機関への対応期限を11月24日に設定。優先すべき修正を整理する
Barracudaは2026年11月9日の勧告更新で、Email Security Gatewayなどの脆弱性CVE-2026-116606（認証回避、CVSS 9.3）とCVE-2026-111560（コマンド注入、CVSS 8.6）の悪用を少数の組織で確認したと公表。米CISAは11月10日に両件をKEVへ追加し、連邦機関への対応期限を11月13日に設定した。対象製品とパッチを整理する
Apache HTTP Serverプロジェクトは2026年11月11日、バージョン2.4.71を公開し、3件の脆弱性を修正した。中心はmod_http2のassign_headers()における同期不備で、ヒープ破壊から遠隔コード実行につながり得るCVE-2026-119618（Critical）。影響は2.4.55から2.4.70までと、単体mod_h2の2.0.8から2.0.42まで。HTTP/2を有効化したサーバーが対象になる。
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
