新たに発見された重大な脆弱性「CVE-2025-24085」は、ベンダーがまだ認識しておらずパッチ（修正プログラム）が提供されていない欠陥「ゼロデイ脆弱性」の一つ。CVE-2025-24085は、プログラムが既に使用を終えて解放したメモリ領域に不正にアクセスできてしまう「Use-After-Free」（UAF）と呼ばれる脆弱性で、攻撃者がシステム管理者と同等の権限を不正に取得できる可能性がある。

　この脆弱性は以下のApple製OSに影響している。

• iPhoneやiPad向けの「iOS」「iPadOS」
• Mac向けの「macOS」
• Apple Watch向けの「watchOS」
• Apple TV向けの「tvOS」
• AR（拡張現実）／VR（仮想現実）ヘッドセット向けの「visionOS」

　Appleはセキュリティ勧告の中で「この脆弱性はiOS 17.2以前のバージョンで積極的に悪用された可能性がある」と述べている。脆弱性の危険度を10段階で示す「CVSSスコア」は原稿執筆時点で発表されていない。

　Appleは、この問題を「メモリ管理の改善」によって修正したと説明。修正が適用されたバージョンは以下の通り。

• iOS 18.3
• iPadOS 18.3
• macOS Sequoia 15.3
• watchOS 11.3
• tvOS 18.3
• visionOS 2.3

　Appleは通常、セキュリティ勧告において脆弱性に関する詳細をあまり公開しないため、CVE-2025-24085の具体的な技術的内容や攻撃の範囲については明らかになっていない。発見者についても言及されていない。米Informa TechTargetはAppleにコメントを求めたが、記事の公開時点では回答は得られていない。

　近年、Appleは多数のゼロデイ脆弱性に対処してきた。その多くは、iOSデバイスを標的とする商用スパイウェア業者によって悪用されている。このような脅威に対応するため、Appleは2021年にイスラエルのスパイウェア企業NSO Groupを提訴した。しかし、2023年9月には、スパイウェア対策に関する機密情報を公にしたくないとして訴訟を取り下げている。

　最近のゼロデイ攻撃はiOSデバイスだけでなく、macOSにも及んでいる。2024年11月には、「CVE-2024-44308」と「CVE-2024-44309」という2つのmacOSゼロデイ脆弱性が発見された。GoogleのThreat Analysis Group（TAG）の研究者によって発見されたこれらの脆弱性は、macOSに対する攻撃の増加と関連があるとされている。サイバーセキュリティ企業SentinelOneやTrellixの報告によると、macOSを標的とした悪意ある活動が活発化しているとのことだ。

（翻訳・編集協力：編集プロダクション雨輝）