iOS 27の前に、iOS 26.6を先に更新したい理由

Appleは7月27日、iOS 26.6とiPadOS 26.6を公開した。iOS 27のパブリックベータに注目が集まる時期だが、今回の更新は新機能を前面に出したものではない。Appleのセキュリティ情報には、アクセシビリティ、Accounts Framework、CoreAudio、カーネル、Safari、WebKitなどに関する修正が並んでいる。

Appleは見出しで単一の修正件数を示していないものの、項目は数十件に及ぶ。その一つはiPhone 11以降が対象で、物理的に端末へアクセスできる攻撃者が、iPhoneミラーリング中に機密データへ到達できる可能性があった。Appleは状態管理を改善して対処したとしている。悪意あるコンテンツ、権限昇格、メモリ処理に関する問題も修正された。

iOS 27を試しているユーザーにとっても、安定版の更新は別に重要だ。ベータ版は異なるリスクを伴い、普段使いのiPhoneやiPadを保護する代わりにはならない。更新前にバックアップを作成し、「設定」>「一般」>「ソフトウェアアップデート」からインストールしたい。

実用面のメッセージは単純だ。iOS 27の方が目立つ更新かもしれないが、当面のセキュリティ上の隙間を埋めるのはメンテナンスリリースであるiOS 26.6だ。ベータテスト専用と割り切った端末でない限り、Appleの次期メジャーバージョンを試す前に安定版を適用するのが賢明である。

Appleのセキュリティ情報を読むには、少し読み解きが要る。各項目にはCVE識別子、影響を受けるコンポーネント、影響を1行で述べた説明が付くが、Appleは技術的な詳細を意図的に伏せており、長年の方針として、調査が完了して修正が利用可能になるまで脆弱性については論じない。このそっけない形式は意図されたものだ。何が修正されたかを確認できるようにしつつ、まだ更新していない端末を攻撃するための手引きを攻撃者に渡さないためである。

リストの中で特に警戒すべきコンポーネント名が2つある。WebKitはSafariと、iOS全体で使われるアプリ内ブラウザでWebコンテンツを描画するエンジンであり、システムの中で最も外部にさらされた部品だ——悪意あるページはどれも攻撃の運び役になり得る。カーネルの欠陥はその連鎖の反対側に位置する。オペレーティングシステムの中核に関わり、悪用に成功すれば最も深いレベルの制御を握られる。現実の攻撃は歴史的にこの2つを組み合わせてきた。ブラウザのバグで侵入し、カーネルのバグで乗っ取るのだ。両方の層を一度に修正する更新は、だからこそ速やかなインストールに値する。

待たない方がよいというタイミング上の理由もある。セキュリティ情報が公開されると、セキュリティ研究者は——そして攻撃者も——修正前と修正後のコードを比較して、何が変わったかを正確に割り出せる。「パッチ差分解析（patch diffing）」と呼ばれる手法だ。修正の公開から実用的なエクスプロイトの流通までの時間は歴史的に狭まり続けており、iOS 26.6のセキュリティ情報が公開されたこと自体が、早めに更新すべき理由になる。

更新が遅れがちな人にも、Appleの保守モデルは一定のセーフティネットを提供している。同社は、先へ進めない端末向けに旧iOS系統へ一部の修正を定期的にバックポートしているほか、フルのポイントリリースの合間に緊急性の高い限定的な修正を配布できるよう、2023年に「緊急セキュリティ対応」を導入した。ただし、どちらの仕組みも、対応ハードウェアで最新リリースを使うことの代わりにはならない。旧系統にとどまる端末が受け取れるのはAppleがバックポートを選んだ修正だけ——通常は最新リリースが受け取るものの一部にすぎない——ため、対応ハードウェアで最新版を保つことが、依然として得られる最強の保護である。

今回の更新が重要である、より長期的な理由もある。歴史的に、iOSの各世代の最後のポイントリリースは、次のメジャーアップデートの対象から外れたiPhoneやiPadがとどまり続けるバージョンになってきた。もし一部の端末がiOS 27の対象に入らなければ、26.x系統と、今回のようなメンテナンスリリースが、それらを今後何年も守り続けることになる。

ほとんどの人にとって賢明な設定は自動化だ。「設定」で自動アップデートを有効にして今回のようなリリースが夜間にインストールされるようにし、iCloudまたはコンピュータへのバックアップを最新に保ち、ベータソフトウェアは不測の事態を許容できるハードウェアに限る。ジャーナリスト、活動家、経営幹部など、リスクの高い立場にあるユーザーは、安定版を最新に保つことに加えて、AppleがiOS 16以降提供している強化保護プロファイル「ロックダウンモード」の利用も検討できる。