【ITニュース解説】The Bug Apple Patched 18 Months Ago Is Now on CISA's Exploited List

CISA（サイバーセキュリティ・インフラセキュリティ庁）の「Known Exploited Vulnerabilities（KEV）Catalog」に、Apple製品の認証不備に関する脆弱性である「CVE-2024-27834」が追加された。しかし、この脆弱性は最近発見された「ゼロデイ」攻撃の対象ではない。実は、Appleは約1年半前の2024年5月13日に、iOS 17.5やmacOS Sonoma 14.5などで、すでにこの問題の修正パッチを提供していたのである。この事実から、現実世界でどのようにサイバー攻撃が仕掛けられているか、多くの教訓を得られる。

CVE-2024-27834は、WebKitというWebブラウザの基盤技術における「認証不備（Improper Authentication）」の問題である。WebKitは、AppleのSafariブラウザなどがWebページを表示する際に使われている。この脆弱性を悪用すると、もし攻撃者がすでにデバイスのメモリに自由にデータを読み書きする能力（任意読み書き能力）を持っている場合、Pointer Authentication（ポインター認証）というセキュリティ機能が回避されてしまう。Pointer Authenticationは、メモリ上で不正な操作が行われないように保護し、メモリの破損が悪意のあるコード実行につながるのを防ぐための、ハードウェアに基づいた重要な防御機構だ。この脆弱性単体で見れば、攻撃者が事前に「任意読み書き能力」を得るための別の脆弱性が必須となるため、CVSSスコアは5.5と「中程度」と評価されている。しかし、サイバー攻撃は単体の脆弱性だけではなく、複数の脆弱性を組み合わせて実行される「エクスプロイトチェーン」という形で実行されることが多く、中程度の脆弱性もそのチェーンの一部として極めて重要な役割を果たす。

今回、この古い脆弱性がKEVに追加された背景には、「Poisoned Source」と名付けられた大規模な攻撃キャンペーンの存在がある。このキャンペーンは、Sekoiaというセキュリティ研究機関によって2026年10月中旬に発見され、ロシアの外国情報庁と関連があるとされる高度なサイバー攻撃グループ「APT29」によるものと高い確度で分析されている。この攻撃は「水飲み場型攻撃」と呼ばれる手法を使い、標的が頻繁に訪れるWebサイトを改ざんして、そのサイトを訪れたiPhoneやAndroidデバイスにマルウェアを感染させるものだった。被害者が何も操作する必要はなく、パッチが適用されていないデバイスで改ざんされたページを開くだけで感染が始まる。

感染経路は主に三つあった。一つ目は、アメリカの主要な化学産業団体やヨーロッパの極右政党、ブルガリアの軍事関連サイトなど、正規のWebサイトが改ざんされ、悪意のあるJavaScriptコードが埋め込まれたケースである。二つ目は、米国、ウクライナ、チェコ、ブルガリアの高名なサイトになりすました偽サイト（ルックアライクドメイン）が使われたケース。そして三つ目は、サプライチェーン攻撃という巧妙な手口だ。ウクライナのWeb分析サービス「Plerdy SEO Tracker」が提供するJavaScriptファイル（a.plerdy[.]com/public/js/click/main.js）が、2026年8月27日から9月3日の間に悪意のあるコードに改ざんされた。これにより、Plerdyを利用している多数のWebサイトが、知らず知らずのうちに攻撃の配信プラットフォームとなってしまった。

改ざんされたスクリプトは、Webサイトの訪問者のデバイスやブラウザの情報を収集し、その情報に基づいて最適なエクスプロイトチェーンを選択する。攻撃の種類は大きく三つに分類された。Class AはiOS 16.7デバイスを狙い、WebKitのリモートコード実行の脆弱性（CVE-2025-43529）と、今回のCVE-2024-27834（PAC回避）を組み合わせて、ブラウザのクッキーを盗むJavaScriptマルウェアを実行した。Class BはiOS 18.5を狙い、さらに複雑な「DarkSword」と呼ばれる5つの脆弱性を組み合わせたチェーンを使用し、SMSやiMessage、メールのデータベース、WhatsAppやTelegramのデータ、iCloud Keychain、Wi-Fiパスワード、連絡先、通話履歴、写真、健康データ、カレンダー、メモ、iCloud Driveのコンテンツなど、デバイス内の広範な個人データを窃取することを目的としていた。Class CはAndroid Chromeの特定のバージョン（139〜145）を標的とし、「AndroSnitch」というマルウェアを投入してChromeのデータとWi-Fiパスワードを盗んだ。窃取されたデータは、ad.starx-net[.]com:8881というサーバーに送信された。

このキャンペーンが示す最も重要な教訓は、「n-day攻撃」の現実的な脅威である。今回の攻撃で使われた脆弱性は、すべてキャンペーンが実行されるよりもずっと以前に修正パッチが提供されていたものばかりだった。CVE-2024-27834に至っては、約1年半も前に修正済みである。これは、現在のサイバー攻撃の主流が、まだ誰も知らない脆弱性を突く「ゼロデイ攻撃」ではなく、パッチが提供されていてもユーザーが適用していない古い脆弱性を悪用する「n-day攻撃」になっていることを明確に示している。商用監視ベンダーによって開発されたn-dayのエクスプロイトチェーンが、国家レベルの攻撃者に再利用されることで、高度なモバイル攻撃のコストと技術的な敷居が大幅に下がっているのだ。世界のスマートフォンの多くが、1年半前のOSやブラウザを使用している限り、攻撃者は新たなゼロデイを見つける必要はない。また、CVSSスコア5.5という「中程度」の脆弱性でも、リモートコード実行の脆弱性と組み合わせることで、単にブラウザがクラッシュするレベルの問題から、ユーザーの個人情報が全て盗まれるといった重大な被害へと一変する。脆弱性の深刻度評価は単体での影響を見るものであり、攻撃者は常に複数の脆弱性を組み合わせて利用することを理解する必要がある。

この状況において、私たちにできる最も効果的で、かつ最も基本的な対策は、以下の通りである。

第一に、使用しているiPhone、iPad、Mac、Androidデバイス、そしてChromeなどのWebブラウザを常に最新バージョンに更新することだ。自動更新機能を有効にすれば、自身が「水飲み場型攻撃」の最も狙われやすい標的となるのを避けることができる。

第二に、デバイスを定期的に再起動する習慣をつけること。今回の攻撃チェーンのように、多くの場合、攻撃はデバイスに永続的な痕跡を残さないため、再起動によってメモリ上のマルウェアがクリアされる可能性がある。

第三に、もし自身がジャーナリスト、活動家、政府関係者などのように、特に高度な標的型攻撃のリスクが高いユーザーであるならば、Appleが提供する「ロックダウンモード」の使用を検討すべきだ。これはまさにこのような脅威からデバイスを保護するために設計されている。

最後に、もしあなたがWebサイトを運営している立場であれば、サイトに組み込んでいる第三者製の分析スクリプトや広告タグスクリプトなどを改めて確認するべきである。Plerdyの事例が示すように、Webサイトの訪問者のセキュリティは、あなたが利用している外部ベンダーのセキュリティレベルに直接的に依存している。CISAは米国の連邦政府機関に対し、2026年11月18日までにCVE-2024-27834への対策を義務付けているが、実質的には、すべてのWebサイト運営者にとって、攻撃者によって設定される「パッチ適用済み脆弱性への攻撃期限」が真の期限となる。

パッチは提供されただけでは意味がない。それがデバイスにインストールされて初めて、脆弱性は修正されたと言える。約1年半もの間、セキュリティの扉を開けっ放しにしておけば、いずれ誰かがその扉を通って侵入してくるのは避けられない事実である。