何が起きたか
CISAは2026-09-29にCVE-2026-86950を、実環境での悪用が確認されたとしてKEVカタログに追加しました。Appleは2026-09-28にiOS/iPadOS 26.7.1およびmacOS Tahoe 26.7.1/Sequoia（CoreGraphics、領域外書き込み、CWE-787）で修正しました。BOD 26-04に基づく連邦政府の期限は2026-10-02です。Meta Product SecurityがAppleに報告しました。
なぜ重要か
これは、AppleのオンデバイスAI（Apple Intelligence）、ローカルLLMツール、AI開発者用マシンをホストするプラットフォーム上で、KEVクラスの実環境で悪用されているメモリ破壊バグです。悪意のあるファイルが配信手段であり、コード実行につながります—macOS開発者/AIワークステーションでは、ローカルモデルデータ、リポジトリのシークレット、エージェントの認証情報への直接の経路となります。AI固有の問題ではありませんが、AI環境が実行されているまさにそのプラットフォームでの実環境での悪用が確認されています。
攻撃経路
悪意を持って細工されたファイル（例：CoreGraphicsに到達する画像/PDF）を処理すると、領域外書き込みが発生し、任意のコード実行につながります。Appleは、iOS 27より前のiOSバージョンで特定の標的個人に対する極めて高度な攻撃で悪用されたことを確認しています。
影響を受けるシステム
Apple iOS、macOS（Tahoe）、iPadOS — iOS 26.7.1/iPadOS 26.7.1、macOS Tahoe 26.7.1 / Sequoia。iPhone 11以降、iPad第3世代以降、および関連するmacOSリリースでも修正済み（support.apple.com/en-us/149226、/149228、/149229）
緩和策
CISA KEV（BOD 26-04）に基づき、iOS 26.7.1、iPadOS 26.7.1、macOS Tahoe 26.7.1 / SequoiaのAppleアップデートを直ちに適用してください。パッチ適用までは、AI/開発マシン上の不審なファイルを敵対的なものとして扱ってください。