【緊急】Apple CVE-2024-27834：CISAが悪用確認のKEVに追加（11月4日）— 2024年5月に修正済みの欠陥が水飲み場型攻撃で使われた（Sekoia報告）、iPhoneはiOS 17.5以降（16.7系は16.7.8以降）へ更新を（CVSS v3.1 5.5）

AppleのOSとブラウザの脆弱性CVE-2024-27834が、2026年11月4日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。この欠陥は、Appleが2024年5月13日に修正済みで、iOS 17.5、iPadOS 17.5、iOS 16.7.8、macOS Sonoma 14.5、Safari 17.5などに修正が入っています。更新済みの端末は、今回の件の対象外です。古い版のまま使っている端末が危険です。報告されている攻撃はiPhone向けで、Macへの攻撃は確認できていません。

まず、自分の端末の版を見てください。iPhoneやiPadは「設定」→「一般」→「情報」で確認できます。iOSが17.5より古い場合（iPhone 8やXのように16.7までしか上がらない機種は、16.7.8より古い場合）は、更新が必要です。家族の端末や、使っていない古い端末も確認してください。

スコアの出どころ：5.5（CVSS v3.1）は、NVDに載っているNIST自身の評価と、CISA-ADPの評価で、どちらも同じ値です。「端末の上で動く（ローカル）・攻撃の複雑さ低・低い権限が必要・利用者の操作不要・完全性への影響が高」というベクターです。Appleの説明では、攻撃者がすでに「任意の読み書き能力」を持っていることが前提です。この欠陥は、単独の入口ではなく、攻撃の連鎖の一部として使われる部品です。点数が中程度でも、KEVに載った事実を優先して、更新してください。

何が起きているのか（公表されている範囲）

• ▸CVE-2024-27834：Appleの告知によると、WebKit（Safariなどが使うブラウザの中核部分）に、「任意の読み書き能力を持つ攻撃者が、ポインタ認証（PAC）を回避できる可能性がある」欠陥があり、「チェックを強化して」修正されました。ポインタ認証は、プログラムの乗っ取りを難しくする安全機構です。報告者として、Trend MicroのZero Day Initiativeと連携したManfred Paul氏が記載されています
• ▸CISAのKEV：11月4日に追加され、対応期限は11月18日です（米国の連邦機関向けの期限）。ランサムウェア攻撃での利用は「不明」と記載されています。KEVの項目に、攻撃者の名前は載っていません
• ▸悪用の報告（Sekoia、11月4日）：セキュリティ企業Sekoiaの報告書は、この欠陥が、ウェブサイトを使った大規模な攻撃で、iPhone向けの攻撃コードの一部として使われたと説明しています。報告書は感染経路の1つとして、ウクライナの分析用タグ「Plerdy」が2026年8月27日〜9月3日に乗っ取られ、このタグを読み込む数千のサイト（大半がウクライナ）が使われたことを挙げています
• ▸使われ方：報告書は、この欠陥を、iOS 16.7向けの攻撃連鎖の2段階目（ポインタ認証の回避）に使い、CVE-2025-43529と組み合わせたと説明しています。連鎖は16.0から17.4でも動くはずだとされています。最終的な狙いは、ブラウザのクッキー（ログイン状態を保つ情報）の窃取で、盗まれると、Webメールなど、ログイン済みのサービスに入られる恐れがあると報告書は書いています
• ▸攻撃者の見立て：Sekoiaは、ロシア対外情報庁（SVR）との関係が広く指摘される攻撃集団「APT29」によるものと、「中〜高の確度」で評価しています。これはSekoiaの分析で、CISAやAppleが攻撃者を特定したものではありません
• ▸新しい欠陥ではありません：報告書は、使われた欠陥はすべて、各社が攻撃の開始前に修正済みで、更新済みのOSなら影響を受けないと書いています。修正を後回しにした端末が狙われた形です。Appleの2024年5月の告知に、この項目への「悪用された可能性」の注記はありません

影響を受けるバージョンと、上げるべき版

• ▸修正版（いずれも2024年5月13日公開。Appleの告知で確認）：iPhoneとiPadは、iPhone XS以降などがiOS 17.5／iPadOS 17.5。iPhone 8・8 Plus・X、iPad（第5世代）、iPad Pro 9.7インチと12.9インチ（第1世代）は、iOS 16.7.8／iPadOS 16.7.8。MacはmacOS Sonoma 14.5で、macOS MontereyとVenturaはSafari 17.5。Apple TV（HDと4K）はtvOS 17.5、Apple Watch（Series 4以降）はwatchOS 10.5
• ▸NVDの対象範囲：Safari・iPadOS・iOS・tvOSは17.5より前、watchOSは10.5より前、macOSは14.0以上14.5未満。NVDは、Linux向けのWebKitGTKとWPE WebKitの2.44.2より前も挙げています。NVDの条件は「iOS 17.5より前」と広く書かれていますが、Appleは16.7系に16.7.8という別の修正版を出しています。16.7止まりの機種では、16.7.8にすれば、この欠陥は修正されます
• ▸使っているのが新しいOSでも、更新は続けてください。報告書は、別の攻撃連鎖がiOS 18.5を狙い、別のCVEを使っていたとも書いています（この記事では、そちらのCVEの修正版は確認していません）。最新の版へ上げておくのが、いちばん確実です

今日やること

• ✓★iPhone・iPadの版を確認する。「設定」→「一般」→「情報」で、iOSの版を見ます。17.5より古い（16.7止まりの機種なら16.7.8より古い）なら対象です
• ✓★最新のiOSへ更新する。「設定」→「一般」→「ソフトウェア・アップデート」から行います。自動アップデートをオンにしておくと、以後の取りこぼしを防げます。更新の前に、バックアップを取っておきます
• ✓Macは、macOS Sonoma 14.5以降（MontereyとVenturaはSafari 17.5以降）にする。Apple TVはtvOS 17.5以降、Apple WatchはwatchOS 10.5以降です
• ✓家族の端末も見る。親や子どもが使っている古いiPhone、買い替え前の端末、家に置いたままの端末も対象です
• ✓古い版で、見知らぬサイトや、不審なリンクを開いた覚えがあるなら、念のため重要なサービスのパスワードを変え、ログイン中の端末の一覧を確認する。クッキーが盗まれる攻撃なので、見覚えのない端末が残っていれば外します（これは当サイトの一般的な対処で、Appleや報告書が示した手順ではありません）

すぐ更新できないとき

確認できた資料（Appleの告知、NVD、CISAのKEV、Sekoiaの報告書）に、この欠陥の回避策の記載はありませんでした。公式が示していない一時しのぎは、効果を保証できないため、手順として載せません。この攻撃は、正規のサイトに罠を仕込む形なので、「怪しいサイトに近づかない」だけでは防げません。更新を最優先にして、日程を先に決めてください。

• ▸機種が古く、上のページに自分の機種の修正版が載っていないとき：その機種に修正が出ているかは、この記事では確認できませんでした。Appleのサポートに問い合わせるか、買い替えを検討してください
• ▸更新したあとも、不審なログインの通知やセキュリティ警告が出ないかを、しばらく気にしておく。

確認できなかったこと

• ▸日本国内の被害や、攻撃の規模。確認できた資料に、日本での事例の記載はありませんでした。Sekoiaの報告書は、被害者の中心をウクライナとしています
• ▸攻撃者の特定。APT29によるという評価は、Sekoiaのものです。CISAとAppleは、攻撃者について書いていません
• ▸報告書にある他のCVEの修正版。CVE-2025-43529などは、この記事では確認していません
• ▸Linux向けWebKitGTK・WPE WebKitの修正状況。NVDが対象に挙げていますが、各プロジェクトの告知は確認していません
• ▸攻撃の痕跡（IoC）。Sekoiaの報告書には、攻撃に使われたドメインやファイルのハッシュの一覧が載っています。この記事では転載しません。報告書は、そこにないIoCや検体を、各国のCERTや法執行機関に限って提供するとも書いています

共有するならこの3行

• ▸AppleのCVE-2024-27834が、11月4日にCISAの「悪用確認」カタログ（KEV）に追加された。2024年5月に直っている欠陥で、古い版のiPhoneが狙われた（Macへの攻撃は確認できていない）
• ▸★iPhoneは「設定」→「一般」→「情報」で版を見て、iOS 17.5より古ければ（16.7止まりの機種は16.7.8より古ければ）更新。できれば最新のiOSへ。家族の古い端末も
• ▸正規のサイトに罠が仕込まれる攻撃で、「怪しいサイトを避ける」だけでは防げない。更新が先。確認できた資料に回避策はなかった

根拠にしたページ