iOS 27.2.1の脆弱性9件｜Bluetooth無操作ペアリングとBrotli境界外書き込みを修正

iOS 27.2.1 の脆弱性は9件。Apple は 2026-11-09 に iOS 27.2.1 / iPadOS 27.2.1 を公開し、Bluetooth 圏内からユーザーの操作なしにペアリングされうる問題や、iMessage グループの問題を修正した。OSS の圧縮ライブラリ Brotli の CVE-2026-111497 も含まれる。本記事は Apple のセキュリティ内容のページ9本を読み、件数と共通点を数えた。

まずやること

・端末を持つ人：設定 → 一般 → ソフトウェアアップデートで iOS 27.2.1 / iPadOS 27.2.1 へ上げる。26 系は 26.7.3、18 系は 18.7.12 が修正版
・開発チーム：検証端末と開発用 Mac の版を一覧にし、下の表の修正版より前のものを更新する
・アプリ・サーバーの担当：自前で同梱した Brotli は OS 更新では置き換わらない。上流の修正版かどうかを別に確かめる

サプライチェーン全体の守り方はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめている。

iOS 27.2.1 の脆弱性9件で何が起きたか

Apple のページに載っている9件を、部品ごとに並べる。影響の欄は Apple の文言（may be able to）に合わせ、「可能性がある」で訳した。対象はどれも iPhone 11 以降、iPad Pro 12.9インチ（第4世代）以降、iPad Pro 11インチ（第2世代）以降、iPad Air（第4世代）以降、iPad（第9世代）以降、iPad mini（第6世代）以降。

攻撃者の前提は3通りに分かれる。Bluetooth の電波が届く距離にいる（4件）、同じネットワークにいる（1件）、リモートまたはグループの参加者である（Messages の2件）。App Intents の1件は、端末に入ったアプリが起点になる。

Apple は各件の技術的な詳細を公開していない。「回数制限を回避できる」と「操作なしでペアリングできる」が組み合わさると何が起きるか、といった攻撃の筋書きは、このページからは読み取れない。本記事も推測しない。

Brotli の CVE-2026-111497 が iOS にも入った

9件のうち brotli の1件だけは、Apple 固有の問題ではない。CVE-2026-111497 は上流の Brotli ライブラリ（google/brotli）のデコーダにある境界外書き込みで、10月から Node.js などで修正が続いている番号だ。経緯は Node2shell（CVE-2026-111497）｜Node.js同梱Brotliデコーダの境界外書き込みRCEと直し方と、波及先を追った HTTP2Shell とは｜node2shellの正体は上流Brotliの問題、HTTPでBrotliを展開する多くのライブラリに波及に書いた。

Apple のページでこの件について言えるのは次の範囲までだ。

・影響の記載は「細工された入力を処理すると、メモリ破壊につながる可能性」。コード実行とは書いていない
・ほかの8件と違い、報告者のクレジットが付いていない
・iOS のどの機能が Brotli の展開を呼ぶかは書かれていない

Node.js で言われた影響（リモートからのコード実行）を、そのまま iOS に当てはめる根拠は Apple のページには無い。同じライブラリの同じ番号が直された、という事実までを押さえておけば足りる。

iOS 27.2.1 の脆弱性への対策と、同日公開の9リリース

2026-11-09 には、iOS 27.2.1 を含めて9本のセキュリティ内容が公開された。各ページの CVE を数え、iOS 27.2.1 の9件と突き合わせた結果が次の表だ。

「掲載なし」は、そのページに CVE が載っていないという意味だ。その OS が影響を受けないとは Apple は書いていない。

対策は更新に尽きる。Apple のページに、設定変更などの回避策は載っていない。iPhone と iPad は 設定 → 一般 → ソフトウェアアップデート、Mac は システム設定 → 一般 → ソフトウェアアップデートから上げる。開発用の Mac も8件が対象で、ペアリングまわりの5件と brotli を含む。検証端末だけでなく、手元の Mac も同じ日に上げておきたい。

自分の端末の版を確認するコマンド

端末の版は 設定 → 一般 → 情報 の「iOS バージョン」で見られる。台数が多いときは、控えた版を下の関数に渡すと、その系統の修正版より前かどうかを並べて出せる。1つ目の引数が端末の版、2つ目がその系統の修正版（27 系は 27.2.1、26 系は 26.7.3、18 系は 18.7.12）。例の値は自分の端末の版に置き換える。

fixed() { [ "$(printf '%s\n' "$2" "$1" | sort -V | head -n1)" = "$2" ] && echo "$1: 修正版 $2 以降" || echo "$1: $2 より前。更新が必要"; }
fixed "27.2" "27.2.1"
fixed "26.7.3" "26.7.3"
fixed "18.7.11" "18.7.12"

Linux（GNU coreutils の sort）で実行すると、次のように出る。macOS の sort での実行は未検証。

27.2: 27.2.1 より前。更新が必要
26.7.3: 修正版 26.7.3 以降
18.7.11: 18.7.12 より前。更新が必要

これは脆弱性の判定ではなく、版の確認だ。この結果だけでは、端末が安全とは言えない。わかるのは「修正版が入っているか」だけだ。「修正版以降」と出ても、アプリが同梱した Brotli は古いままのことがある。「より前」と出ても、過去にペアリングを悪用されたかどうかは判定できない。最終的な根拠は、Apple の各リリースのセキュリティ内容のページに置く。

影響範囲と、開発者が見る3点

Apple のページには、9件のどれについても「悪用を把握している」という記載が無い。一方で、Bluetooth 圏内から操作なしにペアリングされうる問題は、人が集まる場所で端末を使う人ほど条件がそろいやすい。記載が無いことを理由に更新を後回しにする材料は見当たらない。

Apple は同じページで、機械で読める CSAF 2.1 形式の JSON も配っている（ページ上部の「Download JSON」）。この JSON では、リリース全体の深刻度（aggregate_severity）が Medium になっている。CVE ごとの CVSS スコアは入っていない。端末の台数が多いチームは、この JSON の vulnerabilities と product_status.fixed を読めば、修正版の一覧を手で写さずに済む。

開発者が OS 更新とは別に見ておく点は3つある。

Apple プラットフォーム向け SDK の更新では、firebase-ios-sdkの証明書問題でFirestore通信がMITMの恐れ｜13.1.1/12.19.3へ更新も直近の対応事項だ。OS の更新と、アプリに入れた SDK の更新は別々に進める必要がある。

参照ソース

・About the security content of iOS 27.2.1 and iPadOS 27.2.1（Apple）
・Apple security releases（Apple）
・About the security content of iOS 26.7.3 and iPadOS 26.7.3（Apple）
・About the security content of iOS 18.7.12 and iPadOS 18.7.12（Apple）
・About the security content of macOS Golden Gate 27.2.1（Apple）
・About the security content of macOS Tahoe 26.7.3（Apple）
・About the security content of macOS Sequoia 15.8.3（Apple）
・About the security content of watchOS 27.2.1（Apple）
・About the security content of watchOS 26.6.1（Apple）
・About the security content of visionOS 27.2.1（Apple）