平山 大樹 AB通信 運営責任者
AB通信 編集部が、企業・行政の公式発表や決算資料などの一次情報を確認して書いています。運営会社・編集方針
この記事のポイント
- Appleは2026年11月9日、iOS 27.2.1とiPadOS 27.2.1のセキュリティアップデートを公開しました（Apple公式、公開日：2026年11月9日）
- 公式ページには、CVE番号が付いた修正が8件と、CVE番号の記載がないbrotliの修正が1件、載っています
- 対象は、iPhone 11以降、12.9インチiPad Pro（第4世代以降）、11インチiPad Pro（第2世代以降）、iPad Air（第4世代以降）、iPad（第9世代以降）、iPad mini（第6世代以降）です
- 公式ページには、これらの脆弱性が実際に悪用されたかどうかは書かれていません
- 国家サイバー統括室の公式X（@cyber_forecast）は、米国時間11月9日に公開されたとして、忘れずにアップデートするよう呼びかけています
何が公開されたか
Appleは2026年11月9日、iOS 27.2.1とiPadOS 27.2.1のセキュリティアップデートを公開しました。一次情報は、Appleサポートの「About the security content of iOS 27.2.1 and iPadOS 27.2.1」です。日本語版のページ（support.apple.com/ja-jp/149715）もありますが、本稿執筆時点（2026年11月10日）では、本文は英語のままです（公開日の表記のみ日本語です）。
国家サイバー統括室の公式Xアカウント（@cyber_forecast）は、2026年11月10日11:21（日本時間）に、「米国時間2026年11月9日、AppleからiOSおよびiPadOSのセキュリティアップデートが公開されました（iOS 27.2.1 and iPadOS 27.2.1）。忘れずにアップデートしてください」と投稿しています。投稿のリンク先は、上記のApple公式ページです。
これまでのiOS／iPadOSの更新は、iOSの最新アップデート・更新履歴（公式発表まとめ）にまとめています。
修正された脆弱性
公式ページが挙げている項目は、次のとおりです。影響と対処の説明は、公式の英文を日本語に直したものです。公式ページには、各項目の深刻度や、実際に悪用されたかどうかは書かれていません。
| 項目 | CVE | 影響（公式の説明） |
|---|---|---|
| AirPlay | CVE-2026-113968 | Bluetoothの届く範囲にいる攻撃者が、ペアリングコードの試行回数の上限を回避できるおそれ。ロジックの問題を、状態管理の改善で対処した、とあります |
| App Intents | CVE-2026-113963 | アプリが、利用者の機微なデータにアクセスできるおそれ。認可の問題を、状態管理の改善で対処した、とあります |
| Bluetooth | CVE-2026-113970 | Bluetoothの届く範囲にいる攻撃者が、プロセスのメモリを破壊できるおそれ。解放後のメモリを使う問題（use-after-free）を、メモリ管理の改善で対処した、とあります |
| brotli | 公式ページにCVE番号の記載なし | 悪意を持って作られた入力を処理すると、メモリ破損につながるおそれ。境界外への書き込みを、入力検証の改善で対処した、とあります |
| CoreUtils | CVE-2026-113965 | 悪意のあるBluetooth機器が、利用者の操作なしにペアリングを確立できるおそれ。チェックの強化で対処した、とあります |
| CoreUtils | CVE-2026-113964 | Bluetoothの届く範囲にいる攻撃者が、ペアリングコードの試行回数の上限を回避し、利用者の操作なしに機器とペアリングできるおそれ。ロジックの問題を、状態管理の改善で対処した、とあります |
| Messages | CVE-2026-113961 | 遠隔の攻撃者が、iMessageのグループチャットに参加し、そのメッセージを受け取れるおそれ。認可の問題を、検証の改善で対処した、とあります |
| Messages | CVE-2026-113960 | iMessageグループに追加された利用者が、参加前に送られたメッセージにアクセスできるおそれ。脆弱なコードを削除して対処した、とあります |
| rapportd | CVE-2026-113969 | 同じネットワーク上の攻撃者が、AirPlayのペアリングコードの試行回数の上限を回避できるおそれ。ロジックの問題を、状態管理の改善で対処した、とあります |
対象機種
公式ページでは、上記のすべての項目で、対象が次のとおり繰り返し書かれています。
- iPhone 11以降
- 12.9インチiPad Pro（第4世代以降）
- 11インチiPad Pro（第2世代以降）
- iPad Air（第4世代以降）
- iPad（第9世代以降）
- iPad mini（第6世代以降）
このページには、27.2.1より前の系統（26系や18系など）向けの更新があるかどうかは書かれていません。macOSなど、ほかのApple製品向けの同日の更新についても、このページの範囲には含まれていません。
アップデートの方法
セキュリティコンテンツのページ自体には、更新の手順は書かれていません。Appleの手順解説「iPhoneやiPadをアップデートする」によると、ワイヤレスで更新する手順は次のとおりです。
- iCloudまたはコンピュータを使って、デバイスをバックアップする
- デバイスを電源に接続し、Wi-Fiでインターネットに接続する
- 「設定」を開く
- 「一般」をタップする
- 「ソフトウェアアップデート」をタップする
- アップデートが提供されている場合は「ダウンロードしてインストール」をタップし、画面の案内に従う
同じ解説では、自動アップデートは「設定」＞「一般」＞「ソフトウェアアップデート」＞「自動アップデート」から変更できる、と案内されています。ワイヤレスで更新できない場合の、コンピュータを使った手順も、同じページに載っています。
企業・マーケ担当の実務上の注意
- 業務で使うiPhone／iPadが、公式の対象機種に含まれる場合は、早めに27.2.1へ更新する
- iMessageのグループに関する修正が2件あります（参加前のメッセージにアクセスできる問題、遠隔からグループに参加できる問題）。業務でiMessageのグループを使っている場合は、更新の優先度を高くするとよいでしょう
- BluetoothやAirPlayのペアリングに関する修正も複数あります。オフィスやイベント会場など、周囲に機器が多い場所で使う端末は、とくに更新を急ぐ意味があります
- アプリが機微なデータにアクセスできるおそれ（App Intents）も含まれています。業務用アプリを入れている端末も、同じバージョンへ揃えると安心です
- 公式ページには、悪用の有無や深刻度（CVSSなど）は書かれていません。公開された修正を、公式の説明の範囲で優先して適用するのが実務的です
- 端末を一括管理している場合は、各組織の更新手順に沿って適用してください。この記事は、個人向けの公式手順を整理したものです
公式に書かれていないこと
今回の一次情報（Appleサポートのセキュリティコンテンツのページ）には、次のことは書かれていません。
- これらの脆弱性が、実際に悪用されたかどうか
- 各脆弱性の深刻度やCVSS値
- brotliの修正のCVE番号
- 26系や18系など、27.2.1より前の系統向けの更新の有無
- macOSなど、ほかのApple製品向けの同日更新の有無
日本語版ページの本文も、本稿執筆時点では英語のままです。この記事の脆弱性の説明は、英語の公式文を翻訳したものであり、Appleが日本語で公式に示した文言ではありません。
出典
- Appleサポート — About the security content of iOS 27.2.1 and iPadOS 27.2.1（公開日：2026年11月9日）
- Appleサポート — 同ページ日本語版（本稿執筆時点では本文は英語）
- Appleサポート — iPhoneやiPadをアップデートする（公開日：2026年9月22日）
- 国家サイバー統括室公式X（@cyber_forecast）— 米国時間2026年11月9日のセキュリティアップデート公開を案内した投稿（2026年11月10日11:21 日本時間）
更新履歴
- 2026年11月10日：初版
