画像を見るだけで侵入される？Appleゼロデイ脆弱性「CVE-2025-43300」の全貌と守るべき対策

2025年8月、AppleはiOS・iPadOS・macOSに存在していた深刻なゼロデイ脆弱性「CVE-2025-43300」を修正しました。
この脆弱性は、ユーザーが悪意ある画像ファイルを開いただけで、攻撃者が端末の制御権を得る可能性があるものです。

とくに怖いのは、これが既に“高度で特定の対象を狙った攻撃”に使われていたという事実。
Apple自身が明言しているように、**ユーザー側の操作を必要としない“ゼロクリック攻撃”**の一種でもあるため、被害者が気づかないまま情報を奪われる危険性もあります。

この記事では、被害の背景と構造、そして今すぐ取れる防衛策を整理してお伝えします。

✅ 結論：ゼロクリック型の画像攻撃、対象は“高リスク層”だが全員が注意を

• 悪意ある画像を表示／処理するだけで端末に侵入可能
• 脆弱性はImageIOフレームワークに存在し、iOS/macOS/iPadOSなど広範に影響
• Appleは既に「特定の標的に対してこの脆弱性が使われた」と公式に認めている
• 対象は「政府関係者、記者、活動家、弁護士」などが主と見られるが、攻撃コードが出回る可能性がある以上、全ユーザーにリスクがある

📌 CVE-2025-43300：何が問題だったのか

Apple公式・セキュリティ研究者の報告を総合すると、以下の点が明らかになっています。

■ 脆弱性の内容

• **ImageIO（画像処理フレームワーク）**の境界チェックに不備があり、悪意ある画像ファイルを処理すると、メモリ破壊が発生
• このメモリ破壊（out-of-bounds write）を利用して、攻撃者が任意のコードを実行可能
• 画像を見るだけで侵入される＝「ゼロクリック攻撃」

🌀専門家の分析によると：

「特定の形式でエンコードされた画像を表示しただけでメモリ空間が破壊され、結果としてroot権限を奪われる可能性がある」
（Aardwolf Security社・William Fieldhouse氏）

🛠 すぐに実行すべき防衛策5つ

① すべてのAppleデバイスを最新バージョンにアップデート

対象OSバージョン：

手順：

• 設定 → 一般 → ソフトウェアアップデート
• 「利用可能なアップデートがあります」と表示される場合は即適用

📝 Apple公式のアップデート内容にも「この問題はすでに悪用された可能性がある」と記載あり。

② 知らない画像ファイルを不用意に開かない

注意すべきポイント：

• SMS/MMSやAirDrop経由で送られてきた画像
• メールに添付された見慣れない画像
• SNS上のDM・投稿での画像リンク

たとえ信頼できそうに見えても、送信元が不明な画像は開かない／プレビューしないことが重要。

③ サードパーティ製メッセージアプリの“自動プレビュー”を無効化

例：LINE／Telegram／Discordなど

• 受信した画像を自動で読み込んで表示する機能がある場合、それがトリガーになるリスクがある
• 設定で「メディアの自動再生／プレビュー」をオフにすることで、危険性を大幅に軽減可能

④ プロファイルのインストール履歴がある場合は削除を検討

ゼロデイ攻撃では、モバイルデバイス管理（MDM）や構成プロファイルを使って端末制御されるケースも。
企業・教育機関以外のプロファイルがインストールされている場合は要注意。

手順：
設定 → 一般 → VPNとデバイス管理 → 不要なプロファイルを削除

⑤ 高リスク層は「ロックダウンモード」も検討

Appleが用意している**Lockdown Mode（ロックダウンモード）**は、標的型攻撃から端末を守るための強力な防御機能です。

対象者：以下のような職業／立場にある方

• 報道関係者（記者・編集者など）
• 政治活動家／人権団体関係者
• 弁護士・訴訟関係者
• 政府職員／外交官など

設定方法：
設定 → プライバシーとセキュリティ → ロックダウンモード → 有効にする

🔒 有効にすると：

• 添付ファイルや画像のプレビューが制限される
• FaceTime／メッセージの一部機能がブロックされる
• Web閲覧でもJavaScript制限などセキュリティが強化される

🔍 実際にどう使われたのか？観測された攻撃と対象層

Appleは公式に、「この脆弱性がすでに標的型攻撃で利用された可能性がある」と発表しています。
具体的な事例は限られていますが、以下のような分析が報告されています。

攻撃事例の傾向

• 脆弱性を利用したのは、国家レベルの監視系マルウェア（スパイウェア）と見られる
• **Pegasus（NSO Group）やPredator（Intellexa）**など、以前から報告のある攻撃ツールと類似の挙動
• 被害者は主に：
  • 国外メディア記者
  • 政治活動家／反体制派
  • 政府職員や外交官
  • 国際法関連の弁護士

🧠 攻撃の多くは、メールやメッセージに埋め込まれた画像、SNSのプレビュー、クラウド共有されたファイルから始まる

🧯 一般ユーザーも“他人事”ではない理由

表向きは「特定の標的向け」とされているこの脆弱性ですが、以下のような理由からすべてのユーザーが警戒する必要があります。

📲「私は大丈夫？」と不安な人のための判断基準

以下のチェックに1つでも該当する人は、アップデートや追加対策をすぐ検討すべきです。

✅ iPhone / Mac をしばらくアップデートしていない
✅ 海外とのやり取りが多い
✅ 政治・報道・法律・人権・教育など“情報の価値が高い分野”に関わっている
✅ SNSやメッセージで画像を多くやり取りする
✅ 添付ファイルやPDFなどをよく開く
✅ 家族・チームの中に「対象になりそうな人」がいる

→ 1つでも当てはまれば、「私は狙われない」とは言い切れません。

🔧 Appleの今後の対策とユーザーに求められる行動

■ Apple側の動き

• iOS 18.6.2 / macOS 各種で当該脆弱性はすでに修正済み
• ベータ／旧機種向けにもパッチ展開済み（古いiPhoneにも広範対応）
• 公開文書内でも、特定のスパイウェアキャンペーンとの関係性を示唆

■ ユーザー側の行動指針

✅ まとめ：ゼロデイ攻撃から身を守るには

Appleの脆弱性は、最先端のスパイウェアが実際に悪用した実績がある危険な問題です。

• 一見「自分には関係ない」と思えるかもしれませんが、被害者の多くも“気づかぬうちに”情報を抜き取られています。
• だからこそ、今できる行動を確実に取ることが、最善の防御になります。

🔗 参考・出典

• Apple公式：About the security content of iOS 18.6.2
• CyberScoop：Apple discloses actively exploited zero-day
• Aardwolf Security：ImageIO vulnerability analysis
• TidBITS Talk：ユーザー体験と議論