Appleは、悪意のあるウェブサイトがブラウザの保護機能を回避し、他のサイトのデータにアクセスできる可能性のある脆弱性を修正するため、「バックグラウンドセキュリティの改善」をリリースしました。
それは何ですか？
修正されたWebKitの脆弱性は、次のように説明されています：
「Navigation API のクロスオリジンに関する問題が、入力検証の強化によって解決されました。」
WebKitの脆弱性とは、Appleのウェブレンダリングエンジン（Safari、メール、App Storeなどを動かすエンジン）のセキュリティ上の欠陥を指します。 iOS そしてmacOS。
つまり、CVE-2026-20643の脆弱性により、悪意のあるウェブサイトが別のサイト（例えば、ユーザーが信頼しているサイトなど）になりすまし、本来は分離されているべき情報を読み取ったり盗んだりすることが可能になってしまうということです。 通常、ブラウザは「同一生成元ポリシー」と呼ばれるルールを適用しており、これはあるサイトが別のサイトのデータを覗き見できないようにする厳格な防護壁のようなものです。このバグにより、サイバー犯罪者がその防護壁を突破できてしまう可能性があります。
実際には、攻撃者はまず、特別に細工されたWebページにユーザーを誘導する必要があります。そのページにアクセスすると、サイト間の通常の分離を迂回して、本来は閲覧できないはずの、別のタブのデータや異なるサービスの埋め込みコンテンツなどにアクセスしようとする可能性があります。
現時点では、攻撃者が実環境でこの脆弱性を悪用している様子は見られないが、攻撃者はアカウントや機密データを盗むために、このような問題を他のバグと組み合わせて利用することが多いため、Appleはこれを「バックグラウンドでのセキュリティ改善」としてリリースしたものとみられる。Appleの修正により、WebKitによるクロスサイトナビゲーションのチェックと処理が強化された。
どうすればいい
CVE-2026-20643として追跡されているWebKitの脆弱性に対するこのパッチは、独立したOSのフルバージョンとしてではなく、バージョン26.3.1/26.3.2の上にインストールされます。バックグラウンドでのセキュリティ改善は、最新のOSブランチ（26.x）でのみ利用可能であり、最新バージョンを使用している場合は、バックグラウンドで自動的に適用されます。
のためにiOS iPadOSユーザーの方は、 「設定」＞「一般」＞「ソフトウェアアップデート」で最新のソフトウェアバージョンかどうかを確認できます。まだ自動アップデートをオンにしていない場合は、オンにしておくことをお勧めします。自動アップデートも同じ画面で設定できます。
macOS Tahoeユーザーの方は、Appleメニューから最新バージョン26.3を使用しているかどうかを確認できます。画面左上の「このMacについて」を選択してください。そこに表示される情報には、macOSの名前とバージョン番号が含まれます。ビルド番号も確認したい場合は、バージョン番号をクリックしてください。
このバックグラウンドセキュリティの改善は、 Tahoe 26.3.1を実行しているMacユーザー、および26.3.2を実行しているMacBook Neoユーザーのみが利用できます。
ユーザーは、「バックグラウンドでのセキュリティ強化」オプションが有効になっているか確認するだけで済みます。
iPhoneおよびiPadユーザーの場合、この設定はPrivacyとセキュリティ」の中にあります。下にスクロールして「バックグラウンドセキュリティの改善」のトグルを探してください。
オンMac （macOS Tahoe 26.3以降のみ）以下の手順に従って確認できます。
- 「Apple」メニューをクリックし、「システム設定」を選択します。
- サイドバーでPrivacyとセキュリティ」をクリックします。
- 右側の画面を下にスクロールし、「セキュリティ機能の改善」をクリックしてください。
- 自動インストールがオンになっていることを確認してください。オフになっている場合は、 Mac バックグラウンドセキュリティの改善は、修正が後の完全なアップデートに組み込まれるまで適用されません。
スクリーンショットの「インストール」オプションは 、これをクリックすることで処理を早めることができるという意味です。ただし、自動的に完了するまで待っても問題ありません。
アップデート後、OSのバージョンは26.3.1 (a)と表示されるはずです。ただし、MacBook Neoの場合は26.3.2 (a)となります。
詐欺師たちは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Security フィッシング詐欺、詐欺メール、悪質なサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardが内蔵されています。
