iOS 27が、日本時間の9月15日に配信されました。
アップデートの通知を見て、iOS 27にしたほうが良いのか迷った人も多いと思います。検索するとAIの要約が出てきて、「iOS 26のままだと脆弱性が修正されない」と書いてあります。
正直、ここは言い過ぎだと感じました。Appleは今年も、iOS 27と同じ日に、iOS 26向けの修正を出しているからです。
とはいえ「古いままで大丈夫」とも言えません。Appleのセキュリティ情報を1年分並べると、旧版のページに載らなかった修正が毎回ありました。今回も、iOS 26.7のページに載っていない修正が51件あります（出典：Appleの各更新のセキュリティ情報ページ。筆者が数えた値）。
まもる
しろこの記事では、Appleが公開している記録をもとに、急ぐべき人と待ってよい人を分けて書きます。
- iOS 26のままでも、セキュリティ修正が届く仕組みと、去年の実績
- 新しいiOSにしか載らなかった修正の数と、iOS 27での結果
- 悪用が報告された脆弱性が、旧版にどう届いたか
- AIの要約が書いている3つの新機能の、正確な中身
- 私用のiPhoneと業務用のiPhoneで、判断を分ける理由
- 筆者がサブ機で先に試した印象
先に結論を書きます。
私用のiPhoneは、早めにiOS 27へ上げるのがいいと考えています。業務で使うiPhoneは、管理する側の準備が済むまで待つのが現実的です。理由をこの下に並べます。
iOS 27にアップデートしたほうが良い人は、端末の役割で分かれます
結論から書きます。すぐ上げるか待つかは、そのiPhoneを何に使っているかで決まります。
| 端末の使い方 | おすすめ | 理由 |
|---|---|---|
| 私用のiPhone（メイン） | 数日〜2週間で上げる（筆者の目安） | 最新版にしか載らない修正が毎回ある |
| 私用のサブ機 | すぐ上げてよい | 不具合が出ても生活が止まらない |
| 業務用のiPhone | 管理者の案内を待つ | iOS 27で端末管理の仕組みが変わる |
| iOS 27の対象外の機種 | 旧版の更新を必ず入れる | 配信日に旧版向けの更新は出ていない |
iOS 27の対応機種は、iOS 26と同じiPhone 11以降です。iPhone XSとXRは、すでにiOS 26の時点で対象外になっています。この2機種向けのiOS 18.7系は、iOS 27の配信日には出ていませんでした（出典：Apple「Appleのセキュリティリリース」、2026年9月15日確認）。
待つ場合も、何もしなくていいわけではありません。旧版向けの更新は、配信されたら入れておくのが前提です。
iOS 26のままでも修正は届く。去年のAppleの配り方
「新しいiOSにしないと修正されない」は、去年の記録と合いません。Appleは旧版にも修正を出し続けていました。
配信日に、旧版向けの更新も同時に出ていました
Appleは「Appleのセキュリティリリース」というページで、更新の一覧を公開しています。去年の配信日を見ると、次の更新が同じ日に並んでいました。
| 更新 | 対象 | 公開日 |
|---|---|---|
| iOS 26 | iPhone 11以降 | 2025年9月15日 |
| iOS 18.7 | iPhone XS以降 | 2025年9月15日 |
| iOS 16.7.12 | iPhone 8、8 Plus、X ほか | 2025年9月15日 |
| iOS 15.8.5 | iPhone 6s以降 ほか | 2025年9月15日 |
出典：Apple「Appleのセキュリティリリース」（2026年9月13日確認）
iOS 26にしなかった人にも、同じ日に修正が届いていたことになります。
意外だったのは、その後の旧版の対象です。2026年3月のiOS 18.7.7と、4月のiOS 18.7.8は、iPhone XRからiPhone 16eまでが対象でした。iOS 18のまま使い続けた新しめのiPhoneにも、修正が配られていたわけです。
iOS 27でも同じ配り方になるかは、配信日の一覧で確かめました。
iOS 27と同じ日に、iOS 26.7も公開されていました。対象はiPhone 11以降で、iOS 27と同じ機種です。iOS 26のまま待つ人にも、今年も同じ日に修正が届いたことになります。
一方で、iPhone XSとXR向けのiOS 18.7系は、同じ日の一覧にありませんでした。去年のように、古い世代の更新まで同じ日にそろったわけではありません（出典：Apple「Appleのセキュリティリリース」、2026年9月15日確認）。
ただし「全部」は載っていませんでした
では、旧版に届く修正は最新版と同じなのか。Appleは更新ごとに、修正した脆弱性の番号（CVE）を公開しています。同じ日に出た最新版と旧版で、その数を比べました。
| 公開日 | 最新版 | 修正数 | 旧版 | 修正数 | 最新版だけの修正 |
|---|---|---|---|---|---|
| 2025年9月15日 | iOS 26 | 36 | iOS 18.7 | 14 | 24 |
| 2025年12月12日 | iOS 26.2 | 39 | iOS 18.7.3 | 23 | 18 |
| 2026年2月11日 | iOS 26.3 | 44 | iOS 18.7.5 | 36 | 20 |
| 2026年5月11日 | iOS 26.5 | 67 | iOS 18.7.9 | 49 | 29 |
| 2026年8月17日 | iOS 26.6.1 | 29 | iOS 18.7.10 | 122 | 10 |
| 2026年9月14日 | iOS 27 | 126 | iOS 26.7 | 82 | 51 |
出典：Apple「About the security content of iOS 26／iOS 18.7」ほか各更新のページ。筆者がCVE番号を数えた値（2026年9月13日確認。iOS 27の行は9月15日確認）。公開日はAppleの一覧の表記で、日本時間では翌日にあたります
どの回も、最新版にしか載っていない修正が10件以上ありました（上の表と同じ出典）。旧版のページに番号が無いことは、修正されていないことの証明にはなりません。
一方で、2026年8月のiOS 18.7.10は、最新版より修正が多くなっています。中を見ると、5月のiOS 26.5で直っていた番号が9件含まれていました。旧版には、3か月遅れで届いた修正もあったということです。数字は、Appleの「iOS 26.5」と「iOS 18.7.10」のセキュリティ情報ページを筆者が突き合わせた値です（出典：同ページ）。
まとめると、旧版にも修正は届きます。ただし一部はページに載らず、一部は遅れて載っていました。
悪用が報告された脆弱性は、どう届いたか
件数より気になるのは、実際に攻撃に使われた脆弱性です。Appleは、悪用の報告を把握している場合に、その旨をページに書きます。
去年から今年にかけて、次の3件にその記載がありました（出典は各更新のセキュリティ情報ページ。上の表と同じ）。
| 番号 | 公開日 | 最新版のページ | 同じ日の旧版のページ |
|---|---|---|---|
| CVE-2025-43529（WebKit） | 2025年12月12日 | iOS 26.2に記載 | iOS 18.7.3にも記載 |
| CVE-2025-14174（WebKit） | 2025年12月12日 | iOS 26.2に記載 | iOS 18.7.3にも記載 |
| CVE-2026-20700（dyld） | 2026年2月11日 | iOS 26.3に記載 | iOS 18.7.5には記載なし |
3件とも、Appleは「iOS 26より前のバージョン」で悪用された可能性がある、と書いています（出典：Appleの各更新のセキュリティ情報ページ）。つまり狙われたのは、古いiOSのほうでした。
12月の2件は、旧版にも同じ日に修正が載っていました（上の表と同じ出典）。2月の1件は事情が違います。筆者がAppleのページを確認した範囲では、その後のiOS 18.7系のページにも、この番号の記載は見当たりませんでした。
旧版に修正が出なかったと断定はできません。ただ、最新版と同じ日に同じものが届くとは限らない、ということは言えます。
まもるしろiOS 27で修正された脆弱性（9月15日公開分）
iOS 27のセキュリティ情報には、126件のCVE番号が載っていました。同じ日のiOS 26.7は82件です（出典：Appleの「iOS 27」と「iOS 26.7」のセキュリティ情報ページ。2026年9月15日確認。件数は筆者がCVE番号を数えた値）。
iOS 26.7のページに載っていない番号は、51件ありました（同じ出典）。去年の各回は10〜29件だったので、今回は目立って多いと感じます。逆に、iOS 26.7にだけ載っている番号も7件ありました。
どちらのページにも、悪用の報告を示す記載は見当たりませんでした（同じ出典）。
件数が一番多かったのは、OSの中心にあたるカーネルで20件です（同じ出典）。3D表示のSceneKitが6件、画面の部品を扱うCoreUIが5件と続きます。
気になったのは、Webページを表示するWebKitです。iOS 27に載った3件は、3件ともiOS 26.7のページにありませんでした（同じ出典）。前述の通り、旧版には遅れて載る例もあったので、これだけで「iOS 26が危ない」とは言えません。ただ、後で触れるように、Appleは古いiOSを狙うWebからの攻撃に注意を呼びかけていました。軽くは見られない点です。
iOS 26で入った新機能と、その落とし穴は前回の記事にまとめています。
iOS26セキュリティ新機能の真相と落とし穴7つ…未設定だと何が起きる？
ここが落とし穴
AIの要約は「iOS 26のままだと修正されない」と書いています
「iOS 26 のまま セキュリティ」で検索すると、AIの要約が最初にこう書いています。
新しく発見されるセキュリティ上の脆弱性（欠陥）が修正されないため、ハッキングや不正アクセスのリスクが高まります。
（冒頭の「iOS 26のバージョンのままアップデートをしない場合、」を省いて引用しています）
前述の通り、去年のAppleは旧版にも修正を出していました。この一文は、そのまま受け取ると不正確です。
ただ、要約が言いたいことの芯は外れていません。旧版のページに載らない修正があり、狙われたのも古いiOSでした。「修正されない」ではなく「全部が同じ日に載るとは限らない」と読むのが近いと考えています。
バックグラウンドセキュリティ改善は、旧版で届き続ける保証がありません
AIの要約は、対策として「バックグラウンドセキュリティ改善」を有効にするよう勧めています。iOS 26.1から入った仕組みで、SafariやWebKit、その他のシステムライブラリの修正を、通常のアップデートの合間に小さく届けます。
設定の場所は次のとおりです。
- 設定 → プライバシーとセキュリティ → バックグラウンドセキュリティ改善 →「自動的にインストール」
オンにしておく価値はあります。ただ、Appleの説明ページには、iOS 27が出たあとのiOS 26でも届き続けるとは書かれていません。この仕組みでの配信は、9月15日時点で2026年3月17日の1回だけです。
「これをオンにしたから、iOS 26のままで平気」とは考えないほうが安全です。
詐欺を警告する「Trust Insights」は、対応したアプリでしか動きません
iOS 27の新機能として、詐欺の被害に遭いそうな操作をAIで察知する「Trust Insights」が紹介されています。
これは、アプリの開発者が自分のアプリに組み込むための仕組みです。iOS 27に上げただけで、どのアプリでも警告が出るわけではありません。
配信日の9月15日時点で、対応を公表したアプリは、筆者が調べた範囲では見つかりませんでした。使っている銀行や決済のアプリが対応したかは、各アプリのお知らせで確かめてください。
パスワードの自動修復は、配信時点では入っていません
漏れたパスワードを自動で差し替える機能も、iOS 27の目玉として紹介されていました。
この機能は、配信の直前に「今後のソフトウェアアップデートで対応」に回りました。2026年9月11日に、MacRumorsと9to5Macが報じています。
筆者のサブ機に入れたパブリックベータでも、「パスワード」アプリに自動修復の項目は出ていませんでした。弱いパスワードを知らせる機能は以前からあります。見送られたのは、自動で差し替える部分です。
古いiOSを狙う攻撃は、Apple自身が注意を呼びかけていました
2026年4月14日、Appleは「Webからの攻撃からiPhoneを守るためにiOSを更新してください」というページを公開しました。
Security researchers recently identified web-based attacks that target out-of-date versions of iOS through malicious web content.
最新のソフトウェアを入れていた端末は、報告された攻撃の対象にならなかった、とも書かれています。旧版を使い続けるなら、旧版向けの更新だけは確実に入れる。ここは譲れない線だと考えています。
筆者のサブ機で、先にiOS 27を入れてみました
長く情報システムの運用に関わってきた立場から、私用の端末は先に試すようにしています。今回も、サブ機のiPhone 12 Proに、iOS 27のパブリックベータを入れました。
入れた初日の印象は、次のとおりです。
| 見たところ | 筆者のサブ機での印象 |
|---|---|
| 動作 | サクサク動いて、正直びっくりしました |
| バッテリー | 減りが激しいとは感じません |
| アプリ | 使えなくなったものはなく、表示も変わらず |
| Liquid Glass | もっさり感がなくなり、見やすくなった気がします |
| 更新後の確認画面・通知 | 初めて見るものは特にありませんでした |
| パスワードの自動修復 | 項目は出ていません |
ただし、これは1台のサブ機に、ベータを入れた初日の話です。機種や使い方で結果は変わります。「筆者の端末で問題がなかったから大丈夫」とは言えません。
それでも、私用の端末を早めに上げる判断は変わりません。前述の表のとおり、最新版にしか載らない修正が毎回あったからです。
業務で使うiPhoneは、管理者の案内を待ちます
業務用のiPhoneは、私用と事情が違います。iOS 27では、会社が端末を管理する仕組みに2つの変更が入りました。
| 変更 | 中身 | 出典 |
|---|---|---|
| 管理用の通信の条件 | 端末管理（MDM）、アプリの配布、ソフトウェアアップデートなどの通信で、サーバーがTLS 1.2以降などを満たさないと止まる | Apple（2026年6月9日公開） |
| 更新の延期の方式 | 従来の方式の更新管理や延期の設定は、iOS 27では機能しない。新しい「宣言型」への移行が必要 | Apple（2026年6月8日公開） |
AIの要約は「古いTLS構成のサーバーへの接続拒否」と書いていました。ただ対象は管理用の通信で、一般のアプリやWeb閲覧が含まれるとは、Appleのページに書かれていません。
まもるしろ使う人が自己判断で上げると、管理側の準備前にアプリの配布などが止まるおそれがあります。管理者の案内を待ち、その間は旧版の更新だけ入れておくのが安全です。
一方で、待つ期間が長引くほど、旧版のページに載らない修正を抱えることになります。どこまで待つかは、管理する側が期限を決めておく必要があると考えています。
Androidは、iPhoneと「待つ」の意味が逆になります。Pixelは、最新の修正を受け取るのに最新版が必要です。
アンドロイド17アップデートしたほうが良い人｜Pixelは早め、国内機種はまだ先
まとめ
- iOS 26のままでも、セキュリティ修正は届きます。今年もiOS 27と同じ日に、iOS 26.7が出ています
- ただし全部ではありません。去年の各回で、最新版にしか載っていない修正が10件以上ありました。iOS 27では51件です（出典：Appleの各更新のセキュリティ情報ページ。筆者が集計）
- 悪用が報告された脆弱性でも、同じ日の旧版のページに載らなかった例がありました
- 私用のiPhoneは、数日〜2週間を目安に上げるのがいいと考えています
- 業務用のiPhoneは、管理者の案内を待つのが現実的です。iOS 27では端末管理の仕組みが変わります
- Trust Insightsは対応アプリでしか動かず、パスワードの自動修復は配信時点で入っていません
引っかかった点
一番迷ったのは、修正の数え方です。Appleのページには、1つの脆弱性が複数の項目に出てくることがあります。この記事では、CVE番号の重複を除いて数えました。
もう一つは、CVE-2026-20700の扱いです。旧版のページに番号が見当たらないことは確認できました。ただ、それが「修正されていない」のか「別の形で対処された」のかは、公開情報からは読み取れませんでした。
iOS 26のままでバックグラウンドセキュリティ改善が届くかも、Appleのページからは分かりませんでした。配信後の記録を見て、分かり次第追記します。
参考にした一次資料
- Apple「Appleのセキュリティリリース」（2026年9月15日確認）
- Apple「About the security content of iOS 26 and iPadOS 26」（2026年9月13日確認）
- Apple「About the security content of iOS 18.7 and iPadOS 18.7」（2026年9月13日確認）
- Apple「About the security content of iOS 26.3 and iPadOS 26.3」（2026年9月13日確認）
- Apple「About the security content of iOS 18.7.5 and iPadOS 18.7.5」（2026年9月13日確認）
- Apple「Update iOS to protect your iPhone from web attacks」（2026年4月14日公開）
- Apple「About Background Security Improvements for iOS, iPadOS, and macOS」（2026年9月13日確認）
- Apple「Background Security Improvements by date」（2026年9月15日確認）
- Apple「Prepare your network environment for stricter security requirements」（2026年6月9日公開）
- Apple「WWDC26 device management updates」（2026年6月8日公開）
- MacRumors「Two iOS 27 Features Won’t Be Ready for Monday’s Launch」（2026年9月11日）
- 9to5Mac「Apple says two iOS 27 features aren’t coming until a ‘future software update’」（2026年9月11日）
- Forbes JAPAN「iPhoneのセキュリティが劇的進化、iOS 27で実装される詐欺警告の仕組み」（2026年7月9日）
- Apple「About the security content of iOS 27 and iPadOS 27」（2026年9月15日確認）
- Apple「About the security content of iOS 26.7 and iPadOS 26.7」（2026年9月15日確認）
どれも、この記事を読んだあとに自分で開いて確かめられます。セキュリティ情報は追記されることがあるため、確認した日付を添えました。