Mac向けの新しいセキュリティアップデート「macOS Tahoe 26.6.2」が、日本時間8月18日未明に配信されました。
修正されたセキュリティ脆弱性は28件で、新機能の追加はありません。あわせて、前回の更新で直された「画面共有」の欠陥については、実際の悪用が確認されています。
画像を開くだけで攻撃が成立する欠陥も修正
今回の修正には、細工された画像を開くだけで任意のコードが実行されるおそれのある、画像処理の欠陥が含まれています。ほかに、OS全体を動かす中核部分にあたるカーネルのメモリ破損など、あわせて7件が解消されています。
残る21件は、Safariのエンジンとして使われているWebKitの脆弱性です。多くは、悪意を持って作られたWebページを処理した際に、Safariが強制終了したりメモリが破損したりするおそれがあります。
なお、今回の28件について、実際に悪用されたとの記載はAppleのセキュリティ文書にありません。
28件はいずれも、次期macOS 27「Golden Gate」のベータ版で先に提供されていた修正です。macOS Tahoeのセキュリティ更新は、7月末の26.6、8月上旬の26.6.1に続いてこの3週間で3回目です。
また、28件のうち9件では、クレジット欄にOpenAIのセキュリティチームの名前が記されています。AIの活用でバグの発見ペースが上がり、Appleの配信間隔が縮まっているとみられています。
前回修正した「画面共有」の欠陥は実際に悪用されていた
一方、前回8月7日の更新で対応した「画面共有」の欠陥は、すでに悪用が確認されています。正しいIDやパスワードを持たない攻撃者が認証をすり抜けられるもので、オランダの国家サイバーセキュリティセンター（NCSC-NL）が8月12日、攻撃コードが出回り、実際の攻撃に使われていると明らかにしました。
被害にあったのは、画面共有用のポートがインターネットに開放されたままになっていたMacです。いずれも管理者権限を奪われ、仮想通貨の採掘ツールを仕込まれていたとのこと。
この欠陥を塞ぐ修正は、8月7日に配信されたmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9に含まれています。macOS Tahoeなら、最新の26.6.2に更新すれば前回までの修正もまとめて適用されます。macOS SequoiaとSonomaのMacで8月7日の更新を飛ばしているなら、先に済ませておいてください。経緯は前回の記事にまとめています。
画面共有を日常的に使っていない場合は、「システム設定」＞「一般」＞「共有」で機能そのものをオフにしておくのも有効です。
macOS Sequoia・Sonoma向けの配信は今回なし
1世代前のmacOS Sequoiaと2世代前のmacOS Sonomaには、8月18日の時点で今回の修正に対応する更新が出ていません。
ただ、同じ日にmacOS Sequoia 15.8のリリース候補が配信されたと伝えられており、少なくともSequoiaには対応する更新がまもなく届くとみられます。SequoiaやSonomaのMacを使っている方は、更新の通知が来たら忘れずに適用してください。
macOS TahoeのMacは、「システム設定」＞「一般」＞「ソフトウェアアップデート」から26.6.2にアップデートできます。すでに悪用されている欠陥こそ含まれていないものの、Webページや画像を開くだけで影響を受けるものが中心です。こちらも後回しにせず適用しておきましょう。