先週、AppleはiOS向けにサプライズセキュリティパッチをリリースしました。このパッチでは、リンクをクリックするだけで攻撃者がユーザーのデバイスをリモートから制御できる脆弱性が修正されました。今回、AppleはOS X 10.11.6 El Capitanおよび10.10.5 Yosemiteのユーザー向けにも同じセキュリティパッチをリリースしました。

この脆弱性は「ペガサス」と名付けられており、ゼロデイ脆弱性を悪用してリモートからジェイルブレイクを行い、ユーザーのデバイスに監視ソフトウェアをインストールします。もちろん、ユーザーには知られずに行われます。このエクスプロイトの一部は、Safari WebKitのメモリ破損の脆弱性を悪用しており、ハッカーがオペレーティングシステムの乗っ取りプロセスを開始できるようにします。

この脆弱性の最も厄介な点の一つは、攻撃者がGmail、Facebook、Skype、WeChatなど、様々なサードパーティ製アプリやサービスから情報を傍受できることです。もちろん、iMessageやFaceTimeといったファーストパーティサービスもこれに含まれます。

先週、iOS 9.3.5で同じ脆弱性が修正されました。当時、ニューヨーク・タイムズ紙はこの脆弱性を「反体制派やジャーナリストをスパイするためのもの」と表現しました。Safariのモバイル版とデスクトップ版は同様のコードを共有しているため、この脆弱性は実質的にクロスプラットフォームでした。

Apple はサポート Web サイトで Safari 9.1.3 WebKit アップデートについて次のように書いています。

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。