15 セキュリティ・アップデートの波について考える      津波になるのかどうか

少し前から、AIの影響で、 ソフトウェア (とくにオープンソースのもの) の脆弱性 (vulnerability, ヴァルナラビリティ) が発見されやすくなったせいで、 たくさんの深刻な問題が報告され、 修正アップデートの話が色々来ている。

Linux 使っている(開発している？)人が特に忙しそうだけれど、 現時点で私は Linux マシンをもっていないので、 macOS, iOS で走っているデバイス、 それと特にサーバー関係が気になるところ。 (iPhone はさっさと更新しておいた。)

対応できるものはやっているけれど、 これからどうなるのか、見通しが欲しい。

Chappy君に投げてみる

昨日、たくさんのセキュリティアップデートの話を聞きました。 私にとって macOS が切実で、 早速持っている多くの Mac でアップデートを行いました。 それで気になることを何点かお尋ねします。

(1) AI がセキュリティ・リスクを発見できるようになったせいで、 これまで見過ごされてきた脆弱性がたくさん見つかっている。 その一環と考えて良いですか。

(2) Mac について言うと、パッチが出ているのは、最近のバージョンのみ。 ということは、 古い macOS しか使えない古い Mac は危険になったのでしょうか。

(3) 漠然と期待するのは、色々な脆弱性が見つかって、 対応に追われているところがたくさんあるけれど、 そのうちに脆弱性がある程度出尽くして、ある程度落ち着くことですが、 それは本当にそうなるでしょうか。 なかなか脆弱性が減少しないことも可能性としてはありうると思われます。 この点の見通しはどうですか。

特に何か参考になる意見を言ってきたわけではないので、回答は略。 (3) が実際にどうなるかは気になるところだけどね。

パッチが出来るまでは詳細については語らない、 というやり方が出来るものはいいけれど、 Linux のようなオープンなものはどうするのが良いのか、 人ごとながら気になるところ。

Apple は、最新の macOS と、 その2つ前まではアップデートを提供する、 という方針らしい (今だと Tahoe (26), Sequoia (15), Sonoma (14) が更新される、ということになる)。 問題なのは次だ。以前はかなり古いデバイスも、 新しい OS でサポートしていてくれた (つまり古いデバイスにも最新 OS がインストールできた、 結果的に激重になったりしたけれど…) のだけれど、 最近は早々に古いデバイスを切り捨てるみたいで、 結果的にセキュリティ・アップデートがされないデバイスが増える。 それが心配なところ。

身の回りをチェックしてみる。普段使っている MacBook 達は大丈夫だった (MacBook はデスクトップよりは早めに壊れるので、 結果的にそんなに古いものが残っていない、 という面がある)。 1台 Tahoe にアップデートできない Intel Mac があるけれど、 Sequoia には出来ているので、一応はセキュリティ・アップデートできている。 まずは一安心 (後1回の macOS リリースには耐えられる、ということか)。

デスクトップには、古いのが何台かある。 そのうちの1台は、学科創設時に購入した Mac Pro で (よく今でも動いてくれているなあ…)、 今となっては古いので速くもないけれど、 これはメモリーとコアがたくさんあるので、 まあ数値計算用にあっても良いかも、というマシン。

もう一つは私が普段使いしているもので、これが悩ましい。 メールやWWWブラウジングするのは危ない、とも考えられる。 引退させるのかな。もったいない気もするけど。 何か使い道を考えないと。

(2026/5/16加筆) 最新 Mac には、 MIE (Memory Integrity Enforcement) という保護機能もある、という話があったのだが、 それを回避する手段がAIの助けを借りて作成された、という話が出てきた。 セキュリティアップデートで対応できたので公開されたのかな。

https://blog.calif.io/p/first-public-kernel-memory-corruption

https://article.auone.jp/detail/1/3/7/48_7_r_20260515_1778839401891044

OS の全ソースが公開されていなくても、脆弱性が発見できて、 それを使って攻撃して MIE を回避するコードが作れたということなのか。 まだはっきりとしたことは分からないが、それにしても恐ろしい。

(2026/5/17加筆) 落ち着いて考えると、「セキュリティ・アップデートの津波」はおかしな表現かも。 脆弱性がすごい勢いで見つかって、 セキュリティ・アップデート作成が間に合わなくなる、 というのが私の心配なので、津波になるのは脆弱性の発見の方か。 「セキュリティ・アップデートの波」でなくて、 「セキュリティ上の脆弱性の波」とするのだったか。

さらに一つ訂正。 このページを書き出したとき、 「最新 OS の1つ前までセキュリティ・サポート」と勘違いしていた。 「2つ」とすべきだった。それにかかわる部分は書き直してある。 ただし、 「最新OSとその2つ前までセキュリティのサポートする」というのは、 Apple が保証しているルールではないそうだ。 あくまで「今のところそうしている」という経験則とのこと。 確実なのは、 「Appleのセキュリティリリース」 を見て確認すること。