macOS Tahoe 26.6 のセキュリティ更新：多数の脆弱性修正と CVE 詳細
About the security content of macOS Tahoe 26.6
Apple は macOS Tahoe 26.6 のセキュリティ内容を公開しました。このアップデートでは、サンドボックスの抜け道、ルート権限の取得、バッファオーバーフローなど、多数の深刻な脆弱性が修正されています。各 CVE-ID と発見者の名前がリストされており、ユーザーデータの保護やシステム安定性の向上が図られています。
Apple は、調査が完了しパッチやリリースが利用可能になるまで、セキュリティ問題を開示、議論、確認することはありません。
HNでの議論
148- tengwar2
15.7.8 も今日リリースされました。セキュリティ修正は以下の通りです：
https://support.apple.com/en-us/128071.
背景として、macOS 26 には問題があり、多くの人が macOS 27 の登場を待ってアップグレードを先送りしています。macOS 15 はその前のバージョンです。
- pjmlp
「...bounds checking の改善...」「...memory handling の改善...」「...memory management の改善...」といった修正の数を、開発者、QA、リリース管理チームの時間単価（時給）に換算し、本来取り組めた他の作業と比較することで、特定の言語を使用することによる金銭的損失の概算値が導き出せます。これが、コンピュータが常に世界的なネットワークに接続されていることを踏まえ、なぜ企業が現在これを重要視し始めているのかという理由です。
- embedding-shape
「Claude と Anthropic Research との協力により」という言及が多数見られますが、他の研究所についての言及はありません。Apple はすでに、米国拠点の各研究所で最も強力なモデルにアクセスできていると推測しますが、そうではないのでしょうか？
- AJRF
HN の 3 位にこんな記事があるのは奇妙です。何か見落としている文脈があるのでしょうか？
多くの修正があることを、ほのめかしているのでしょうか？
- TheJoeMan
これは素人考えかもしれませんが、もし知見をお持ちの方がいれば共有してください。Windows、Mac、Linux の OS すべてにおいて、パス解析の脆弱性がサンドボックスからの脱出、コード実行、またはデータアクセスの問題を引き起こすケースを多く見かけます。
ユーザーにファイルピッカーやコマンドライン入力を表示する際、ソフトウェアが POSIX 仕様のすべてを処理できる必要があるのでしょうか？
「通常の」ユーザーが、ネットワークストレージにアクセスするために、複数の ../.. やハードリンク、ソフトシンボリックリンクを同時に含むパスを必要とすることは、あまり見かけません。
パス解析については「受け入れる側は寛容に」という原則を見直す必要があり、OS 全体で統一された単一の実装をオプション機能として提供するべきだと考えます。