Appleが現地時間2026年8月17日、iOS/iPadOS 26.6.1（脆弱性29件）、macOS Tahoe 26.6.2（28件）に加え、旧端末向けのiOS/iPadOS 18.7.10（122件）を同時に公開しました。翌18日には旧macOS向けのSafari 26.6.1（21件）も出ています。いずれも悪用が確認されたという記載はありません。
ただし、注目すべきは件数ではなく中身の差です。Appleの公開情報を突き合わせると、iOS 26.6.1で修正された29件のうち10件は、同日公開のiOS 18.7.10の一覧に載っていません。その中には、画像の処理だけで任意コード実行に至りうる欠陥（CVE-2026-65346）が含まれます。
この記事でわかること
- 2026年8月のApple更新4本の対象端末と修正件数
- 旧端末向けiOS 18.7.10だけが122件と突出した理由
- 最新OSにしか入っていない10件の内訳と、そこに含まれる任意コード実行
- iPhone XS/XR世代が業務端末に残る組織が取るべき確認手順
何が公開されたのか
今回のリリースは、対象端末ごとに配信物が分かれています。自社の端末がどれに当たるかを先に確認してください。
| 更新 | 対象 | CVE件数 | 公開日（現地時間） |
|---|---|---|---|
| iOS / iPadOS 26.6.1 | iPhone 11以降、iPad Pro 12.9インチ第3世代以降、iPad Pro 11インチ第1世代以降、iPad Air 第3世代以降、iPad 第8世代以降、iPad mini 第5世代以降 | 29件 | 2026年8月17日 |
| iOS / iPadOS 18.7.10 | iPhone XS、iPhone XS Max、iPhone XR、iPad 第7世代 | 122件 | 2026年8月17日 |
| macOS Tahoe 26.6.2 | macOS Tahoe | 28件 | 2026年8月17日 |
| Safari 26.6.1 | macOS Sonoma、macOS Sequoia | 21件（すべてWebKit系） | 2026年8月18日 |
なお、macOS Sequoia 15.7.9とmacOS Sonoma 14.8.9は8月6日に別途公開されており、今回の8月17日の波ではOS本体の更新が出ていません。旧macOSに届いたのは、翌18日のSafariのみです。
なぜ旧端末だけ122件なのか
件数が4倍以上に膨らんだのは、旧端末が特別に危険だからではありません。Appleは18.7.10の冒頭で「このアップデートは、iOS 26.6および27のベータで最初に提供されたセキュリティ修正を配信するものです」と記載しています。つまり、最新OS側で先に塞がれていた分が、まとめて降りてきたということです。
実際にCVE番号を突き合わせると、122件のうちiOS 26.6.1と共通するのは19件だけで、残る103件は26系で先行して修正済みだった内容にあたります。iOS 26.6の公開は2026年7月27日でしたから、旧端末は約3週間、既知の脆弱性を抱えたまま待たされていた計算になります。サポートが切れているわけではないため資産管理上は問題なく見えますが、実態としては修正の到着が遅れます。
それでも最新OSにしか入っていない修正が10件ある
より実務に効くのはこちらです。iOS 26.6.1に含まれ、同日のiOS 18.7.10には見当たらないCVEが10件あります。
| CVE | コンポーネント | Appleが記載する影響 |
|---|---|---|
| CVE-2026-65346 | ImageIO | 画像の処理により任意コード実行に至る可能性（整数オーバーフロー） |
| CVE-2026-65347 | ImageIO | 画像の処理によりサービス拒否に至る可能性 |
| CVE-2026-65330 | Kernel | アプリがシステムの異常終了、またはカーネルメモリの破壊を引き起こす可能性 |
| CVE-2026-65343 | Kernel | リモートの攻撃者がシステムの異常終了を引き起こす可能性 |
| CVE-2026-65349 | Kernel | アプリがカーネルメモリを読み取る可能性 |
| CVE-2026-65329 | Telephony | 特権的なネットワーク位置にいる攻撃者がIPSec認証を回避し、通信を傍受する可能性 |
| CVE-2026-64788 | IOGPUFamily | 細工されたWebコンテンツの処理によりメモリ破壊に至る可能性 |
| CVE-2026-65339 | Audio | アプリが機微なユーザー情報を漏えいさせる可能性 |
| CVE-2026-65351 / CVE-2026-64787 | WebKit | 細工されたWebコンテンツの処理によりSafariの異常終了、またはプロセス終了に至る可能性 |
同じことが旧macOSでも起きています。macOS Tahoe 26.6.2の28件のうち、Safari 26.6.1で配信されたのはWebKit系の21件のみで、上表のうちAudio・ImageIO2件・IOGPUFamily・Kernel3件の計7件は、Sonoma/Sequoia向けには提供されていません。
ここで正確を期しておきます。一覧に無いことが即「旧端末が脆弱なまま放置されている」ことを意味するとは限りません。該当機能が旧端末に存在しない、あるいは旧端末では問題が成立しない可能性もあります。Appleは理由を説明していません。ただしImageIOとKernelについては18.7.10でも別のCVEが修正されており、旧端末にも存在するコンポーネントであることは確かです。少なくとも「同日時点で、これらの修正は旧端末に届いていない」という事実は動きません。
Image I/Oとは何か、なぜ気にする必要があるのか
Image I/O（ImageIO）とは、画像ファイルの読み書きとメタデータへのアクセスを担う、Appleプラットフォームの標準フレームワークです（Apple公式ドキュメントの記載は「ほとんどの画像ファイル形式の読み書きと、画像のメタデータへのアクセス」）。特定のアプリではなくOS側の共通部品であり、開発者が個別に導入するものではありません。
「うちはそんなライブラリを入れていない」という話にならないのはこのためです。そしてAppleの記載は「Processing an image may lead to arbitrary code execution」、つまり利用者がファイルを実行しなくても、画像を処理した時点で成立しうることを示しています。この種の欠陥がメールやメッセージ経由の攻撃で警戒されるのは、この性質があるからです。
現場目線では、この世代の端末が一番見えにくい
iOS 18.7.10の対象は、iPhone XS / XS Max / XR（2018年発売）とiPad 第7世代（2019年発売）です。個人利用ならとうに買い替えている世代ですが、業務現場では話が違います。
倉庫や店舗の共用端末、来客用の貸出iPad、検品や点呼にだけ使う専用端末——このあたりは「壊れていないから使い続ける」判断で残りがちです。しかも社用スマホの管理台帳とは別のExcelで管理されていたり、そもそも台帳に載っていなかったりします。MDMに入っていない端末は更新状況の一覧にも出てこず、端末の細部まで目が届かないもどかしさは、この世代で特に強く出ます。
加えて厄介なのが、旧端末は「サポート対象内」に見えることです。実際Appleは修正を出し続けています。だからこそ棚卸しの優先度が下がり、最新OS端末とは修正の到着時期が違うという事実が意識されないまま運用が続きます。同じ日に出た更新でも中身が10件違う、という今回の具体例は社内説明の材料に使えます。
情シスはどうすべきか
今回に限って言えば、やるべきことはシンプルです。
- iOS 26系に上げられる端末は、26.6.1へ上げる。上表の10件はこちらにしか入っていません。iPhone 11以降が対象です。
- iOS 18系のままの端末は、18.7.10を確実に適用する。122件が一度に塞がれます。適用しない場合の差は極めて大きくなります。
- Tahoe以外のMacは、Safari 26.6.1の適用状況を個別に確認する。OS本体の更新が同時に来ていないため、更新通知だけを見ていると取りこぼします。
- そもそもiOS 18止まりの端末が何台あるかを数える。台数が把握できていないなら、更新の議論より先にそこです。
自前の対策チェックリストを増やすより、公的機関の指針を土台にしたほうが実務では通ります。IPAの中小企業の情報セキュリティ対策ガイドラインは、端末の把握（資産管理）と更新の適用を基本項目として整理しており、経営層への説明資料としてそのまま使えます。利用者側への周知には対策のしおりが向いています。地味ですが、「更新の通知が出たら後回しにしない」を現場に浸透させる啓発は、台帳整備と同じくらい効きます。
まとめ
- Appleは2026年8月17日〜18日に4本の更新を公開。旧端末向けiOS 18.7.10が122件と突出しているのは、iOS 26.6以降で先に塞がれた分（103件）がまとめて届いたためで、その遅れは約3週間でした。
- iOS 26.6.1の29件のうち10件は18.7.10の一覧に無く、旧macOS向けにも7件が未提供です。中でもImageIOのCVE-2026-65346は「画像の処理による任意コード実行」で、影響が大きい部類にあたります。
- iPhone XS/XR世代とiPad第7世代は、サポート対象内に見えるぶん棚卸しから漏れやすい端末です。まず台数を数え、上げられる端末は26.6.1へ、残る端末は18.7.10を確実に適用してください。
関連記事
- WatchGuard Firebox脆弱性17件、11.x系は修正なし（旧系列に修正が来ない構図）
- SharePoint 2016/2019サポート終了 悪用は継続
- AirDrop・Quick Shareに近距離脆弱性 ゼロクリック攻撃のリスク
- Microsoft月例パッチ751件、実質420件の見極め方
出典
- About the security content of iOS 18.7.10 and iPadOS 18.7.10 – Apple Support
- About the security content of iOS 26.6.1 and iPadOS 26.6.1 – Apple Support
- About the security content of macOS Tahoe 26.6.2 – Apple Support
- About the security content of Safari 26.6.1 – Apple Support
- Apple security releases – Apple Support
- Image I/O | Apple Developer Documentation
- 中小企業の情報セキュリティ対策ガイドライン（IPA）
