はじめに
2026年2月中旬、AppleからiOSやmacOSなど「全製品」に向けた緊急セキュリティアップデートが配信された。
単なるバグ修正ではなく、米国CISAのKEV（既知の悪用済み脆弱性カタログ）に即日登録された悪用確認済みのゼロデイ脆弱性（CVE-2026-20700）が含まれている。
普段からネットワーク構築やサイバーセキュリティを学んでいる高校生として、このニュースは「ただアップデートして終わり」にするにはあまりにも興味深かった。
AppleのリリースやNVD（National Vulnerability Database）の一次情報をベースに、この脆弱性の裏側でどんなエクスプロイト（攻撃）が組まれていたのか、自分なりに技術的な考察をまとめてみる。
CVE-2026-20700 の仕様と「dyld」の絶望感
まず、公開されている脆弱性の仕様を整理する。
-
対象コンポーネント：
dyld（Dynamic Link Editor） - 脆弱性の種類： メモリ破損（Memory Corruption）
- 影響： 任意のコード実行
- 前提条件： 攻撃者がすでに「メモリ書き込み機能（権限）」を持っていること
ここで最大のポイントになるのが、ターゲットにされた dyld の存在だ。
dyldは、macOSやiOSにおける「動的リンカ」であり、アプリ（Mach-Oバイナリ）が起動する際、必要な共有ライブラリをメモリにマッピングして実行可能な状態をセットアップするOSの中枢プログラムである。
dyldは、どんなアプリを動かすにしても必ず呼び出される「ゲートキーパー」のような役割を持つ。
ここでの状態管理（State Management）に不備があり、メモリ破損を引き起こせる状態になっていたことが、今回の「全OS一斉アップデート（iOS 26.3, macOS 26.3など）」という広大な影響範囲の理由だ。
OSの根幹中の根幹に穴があったというのは、セキュリティ的にかなり絶望的な状況だと言える。
なぜ「メモリ書き込み権限」が前提なのか？（連鎖攻撃の考察）
アドバイザリを読んでいて、技術的に一番面白かったのがこの一文だ。
"An attacker with memory write capability may be able to execute arbitrary code."
（メモリ書き込み機能を持つ攻撃者は、任意のコードを実行できる可能性がある）
つまり、CVE-2026-20700は単体では成立しない。
攻撃者は、事前に何らかの方法でメモリを書き換える権限を得ている必要がある。ここから、高度な攻撃者が複数の脆弱性を組み合わせた「エクスプロイトチェーン（連鎖攻撃）」を行っていたことがはっきりと推測できる。
- ステップ1（初期侵入）： ブラウザ（WebKit）やメッセージアプリの別の脆弱性を突き、まずはプロセス内でメモリ書き込み権限（R/W）を奪取する。
-
ステップ2（権限昇格・永続化）： 取得した権限を使って、本命である
dyldの状態管理の隙を突く（CVE-2026-20700）。 - ステップ3（完全掌握）： サンドボックスを抜け出し、OSレベルでの任意のコード実行やカーネル特権を奪取する。
dyldはコード署名の検証などにも深く関わるため、ここを掌握されればOSのセキュリティ機構を完全にバイパスされてしまう。
Google TAGの報告が意味する「プロの犯行」
もう一つ、このインシデントの異常性を物語っているのが、発見・報告者がGoogleの 「Threat Analysis Group（TAG）」 であるという点だ。
Google TAGは、一般的なバグハンターではなく、国家支援型のサイバー攻撃（APT攻撃）や高度なスパイウェアを専門に追跡するセキュリティチーム。
Apple自身も「特定の個人を標的にした攻撃で悪用された可能性がある」と認めている。
これらを総合すると、このゼロデイは無差別なばらまきマルウェアではない。政治家やジャーナリスト、活動家などを狙い撃ちにする、「Pegasus（ペガサス）」のような商用スパイウェアの感染経路（ゼロクリック・エクスプロイトなど）として使われていた可能性が極めて高い。
おわりに：インフラ技術者視点での気づき
自分は普段、自宅のネットワークにSophosのファイアウォールを構築したり、パケット分析をしたりするのが好きだ。
しかし、今回のような「OSの動的リンカ（dyld）を突くメモリ破壊」に対しては、ネットワーク層の境界防御（ファイアウォールやIPS）ではほぼ防ぐことができない。攻撃ペイロードはHTTPSやiMessageの暗号化通信に紛れて端末に到達し、端末の内部（メモリ上）で完結して発火するからだ。
どれだけ強固なネットワークを組んでも、最後は「エンドポイントのOSに最速でパッチを当てること」が究極の防御になると、改めて思い知らされたインシデントだった。
- iPhone：
iOS 26.3 - Mac：
macOS Tahoe 26.3
すでに現実世界で悪用されている兵器級の脆弱性だ。
まだアップデートしていない人は、今すぐ設定画面を開くことを強くおすすめする。