iOSアプリ開発の気になる変更まとめ（2026/10/28）：eMudhraの認証局侵害、iOS 27.2リリースほか
iOSアプリ開発をしていると、Appleのベータリリースだけでなく、利用しているSDKやツールの仕様変更も保守観点で気にしておく必要がある。今回はeMudhraの認証局侵害やiOS 27.2の正式リリース、iPhone Duoの発売など複数の動きが重なったため、気になったトピックをまとめておくことにした。
eMudhra の認証局侵害
2026年10月19日、認証局eMudhraが発行した複数の中間CA証明書の秘密鍵が侵害されたことをGoogleが認識した。この中間CAにつながるルート証明書を信頼したままだと、攻撃者は正規に見える証明書を偽造できる。通信経路上にいる攻撃者に中間者攻撃を仕掛けられると、通信を傍受・改ざんされるおそれがある。
影響を受けるSDKは、TLSのルート証明書バンドルをアプリのバイナリに組み込んで使っている。OSの信頼ストアが更新されても、この組み込みのバンドルは変わらない。そのため、OSのアップデートやサーバー側の対応では直らず、SDKを更新してアプリを再リリースし、ユーザーにアップデートを促す必要がある。
Apple製デバイスでの対応
Appleも2026年10月23日に案内を公開した。秘密鍵が漏洩したのはeMudhraが運用する8つの中間CAで、うち6つがTLS証明書を発行するものだ。Appleは10月19日から関連する12の証明書を、10月23日からはルート証明書「emSign ECC Root CA - G3」を、Apple製デバイス上でブロックしている。
- Safari、Mail、Appleのネットワーク・セキュリティフレームワークを使うアプリは自動でブロックの対象になり、対応は不要とされている
- macOSやXcode Command Line Toolsに付属するcurl・git・opensslなどが参照する
/etc/ssl/cert.pemは、今後のソフトウェアアップデートで対応される予定だ。ほとんどのユーザーは編集不要とされているが、curlやgitをよく使っていてアップデートを待たずに対応したい場合は、ページにある手動での削除手順を参照してほしい - 独自の証明書一覧を持つアプリやツールにはAppleのブロックが効かないため、開発元に確認するよう案内されている
最後の項目が、次に挙げるFirebase SDKやFlutter、Homebrewのca-certificatesにあたる。
Firebase SDK の更新
Firebaseは、該当のルート証明書をSDKのバンドルから削除した修正版を出している。iOSのネイティブアプリでは、Cloud Firestoreを使っている場合が対象になる。
| 導入方法 | 修正版 |
|---|---|
| Swift Package Manager | 13.1.1以降、または12.19.3 |
| CocoaPods | 12.19.3 |
CocoaPodsで提供されるのはFirebase 12が最後なので、CocoaPodsを使っている場合の修正版は12.19.3になる。12.19.3より前の12系と、13.1.0以前の13系は更新が必要だ。CocoaPodsではPodfileで古いバージョンに固定していないかも確認したい。
使っているバージョンは、Swift Package ManagerならPackage.resolved、CocoaPodsならPodfile.lockでFirebaseFirestoreの行を見れば確認できる。
Unity、C++、React NativeでFirestoreを使っているアプリも対象なので、該当する場合はページの表で修正版を確認してほしい。
Flutter の更新
Flutterは、Firebaseを使っているかどうかに関係なく本体の更新が必要になる場合がある。
- Android・Windows・Linux向けのアプリは、Firestoreを使っていなくても対象になる。Dart 3.13.7以降・Flutter 3.47.8以降で再ビルドする
- iOS・macOS向けでFirestoreを使っている場合は、
cloud_firestoreを7.1.0（BoM 5.1.0以降）か6.10.1（BoM 4.20.1）に更新する
開発環境の Homebrew 更新
開発マシン側では、Mozillaが2026年10月20日に、eMudhraのルート証明書「emSign ECC Root CA - G3」を信頼リストから削除している。Homebrewのca-certificatesでも、このPRでemSignのG3のルート証明書が除外された。すぐに問題が出るわけではないと思うが、更新しておきたい。
Homebrewのca-certificatesは、openssl@3やwget、ruby-buildなどHomebrewで入れたツールが使う証明書バンドルだ。macOS自体の信頼ストアとは別物で、Appleのブロックはこちらには効かない。インストール済みのパッケージで使っているものは、以下で確認できる。
brew uses --installed ca-certificates
brew outdatedで表示されれば更新対象なので、アップデートする。
brew update
brew outdated ca-certificates
brew upgrade ca-certificates
更新後は、バージョンが2026-10-20以降になっていることを確認する。
brew list --versions ca-certificates
あわせて、証明書バンドルに該当のルート証明書が残っていないことも確認しておく。以下のコマンドで何も出力されなければよい。
$(brew --prefix openssl@3)/bin/openssl crl2pkcs7 -nocrl -certfile "$(brew --prefix)/etc/ca-certificates/cert.pem" \
| $(brew --prefix openssl@3)/bin/openssl pkcs7 -print_certs -noout \
| grep -i "emSign.*G3"
Apple
iOS 27.2 リリース
2026年10月26日にiOS & iPadOS 27.2（24B119）がリリースされた。リリースノートはRCから文言の修正があっただけで、項目の追加や削除はない。
リリースノートには、EU向けのApp Tracking Transparency（ATT）の拡張プロンプト（フランス・ドイツ・イタリア・ポーランド・ルーマニアでは必須）や、「iOS 27.1以降」でUIViewのデフォルトのlayout marginsがゼロになる変更が載っている。layout marginsの変更が新しいSDKでビルドしたアプリだけに適用されるのかは、リリースノートからは読み取れなかった。既存のiPhoneでも27.2に上げたユーザーから順に影響が出る可能性があるので、手元のアプリを27.2の端末で一度確認しておきたい。なお、本記事の執筆時点でXcode 27.2の正式版はまだ出ておらず、27.2 SDKでの申請にはRCを使うことになる。
セキュリティアップデート（iOS 27.2、iOS 26.7.2、iOS 18.7.11）
iOS 27.2と同じ2026年10月26日に、各OSのセキュリティアップデートも公開された。
| アップデート | 修正されたCVEの数 |
|---|---|
| iOS & iPadOS 27.2 | 163件 |
| iOS & iPadOS 26.7.2 | 134件 |
| iOS & iPadOS 18.7.11 | 3件 |
このほか、macOS Golden Gate 27.2・Tahoe 26.7.2・Sequoia 15.8.2、tvOS 27.2、watchOS 27.2、visionOS 27.2、Safari 27.2も出ている。
iOS 18.7.11の対象はiPhone XS・XS Max・XR・iPad（第7世代）だ。iOS 26.7.1で修正されたCoreGraphicsの脆弱性（CVE-2026-86950）も含まれている。標的型攻撃で悪用された可能性があるとされていたもので、iOS 27に上げられない旧機種にも修正が届いた。
iPhone Duo 発売
2026年10月23日にiPhone Duoが発売された。Appleのセキュリティリリース一覧には同日付でiOS 27.1が載っており、対象はiPhone Duoのみとなっている。
前日の2026年10月22日には、TestFlight 4.4.1がiPhone Duoに対応した。Duoの実機でTestFlightのベータ版を配布して確認できるようになっている。実機が手元にない場合でも、Xcode 27.1以降のDevice HubでiPhone Duoシミュレータを使い、開閉や向きを変えたときのレイアウトを確認しておきたい。
Xcode 27.2 RC リリース
2026年10月19日にXcode 27.2 RC（27B48）とiOS & iPadOS 27.2 RC（24B115）がリリースされた。翌日からは、27.2 RCのSDKでビルドしたアプリをApp Storeへ提出できるようになっている。
- Beta 3でKnown Issuesに加わった、XCTest UI Automationの
.rotateDigitalCrownを使うテストが失敗する問題は、RCで修正済みの項目に載った - Xcode 27.1ではKnown Issuesだった、iPhone Duoシミュレータで
CameraCaptureAccessoryを使うアプリがキャプチャセッションなしで両方のディスプレイを使えてしまう問題も、修正済みの項目に入っている - Device Hubには、スローモーションアニメーションやシェイク・落下・メモリプレッシャーのシミュレート（シミュレータのみ）、デバイスのベゼル非表示などの改善が載っている
一方で、macOS・watchOS・tvOS・visionOSのSDKが27.1を有効なデプロイメントターゲットとして扱ってしまう問題がKnown Issuesに載っている。Mac Catalystで27.1または27.2をデプロイメントターゲットにすると新しいAPIを使えない場合があるとされており、iOS 27.1固有のAPIがMac Catalystでコンパイルエラーになる問題も残ったままだ。
サブスクリプションのマルチシート購入が始まった
2026年10月22日から、Apple BusinessやApple School Managerを使う組織が、自動更新サブスクリプションを必要な席数分まとめて購入できるようになった。購入した席は、組織が既存のデバイス管理ツールで割り当てて管理する。
この設定はApp Store Connectで、これまで変更していなければデフォルトで有効になっている。ただし、2026年9月14日より前に作成され、StoreKit 2を使っていないか、ファミリー共有が有効なサブスクリプションは、デフォルトで無効になっている。組織向けに販売したくないサブスクリプションがある場合は、アプリの「Subscriptions」から対象のサブスクリプションを開き、「Purchase Options」の「Edit」で設定を確認しておきたい。個人が複数の席を買って他の人を招待できるグループ購入も、2026年11月からSandboxで試せるようになる予定で、今冬App Storeで提供される予定だ。
Apple Developer Program License Agreement 改定
2026年10月13日にApple Developer Program License Agreementが改定された。主な変更点は以下のとおり。
- Live Assistance APIとApp Replacement Entitlementの利用条件が追加された
- Apple HomeViewでのiOSアプリのウィジェットや、CarPlay向けiOSアプリの提供に関する条件が追加された
- グループ購入やVolume Purchasingでサブスクリプションを提供する場合の条件が追加された
- Appleが税務当局へ税・売上・連絡先などの情報を報告すること、Appleから共有された顧客の税情報を法律で求められる目的以外に使えないことが明記された
Apple Developerのアカウントにサインインして、新しい規約に同意しておく必要がある。同意できるのはAccount Holderなので、チームで開発している場合はAccount Holderに依頼しておきたい。日本語訳は1か月以内に公開される予定だ。
App Store Connect の更新
App Store Connectのリリースノートには、以下の更新があった。
| 日付 | 内容 |
|---|---|
| 10/22 | 韓国のApp Storeで、「Infrequent profanity and crude humor」「Infrequent mature or suggestive themes」の2つのコンテンツ記述子の年齢区分が、全年齢から12+に変わった |
| 10/22 | TestFlight 4.4.1が公開され、iPhone Duoに対応した |
| 10/21 | Xcode CloudがApp Store Connect内の独立したセクションに移った。iOS・macOS・tvOS・watchOSのアプリはXcode 14以降でアップロードする必要があることも明記された |
| 10/20 | Xcode 27.2 RC（iOS 27.2 RC SDK）でビルドしたアプリを、App StoreとTestFlightにアップロードできるようになった |
まとめ
今回いちばん急ぎたいのはFirebaseの件だ。Appleがデバイス側で証明書をブロックしても、独自の証明書バンドルを持つSDKには効かず、アプリの再リリースまで必要になるため、Firestoreを使っているアプリはSDKのバージョンをすぐに確認したい。Flutterでマルチプラットフォーム展開しているアプリは、Firestoreを使っていなくてもAndroid版などが対象になる点に注意が必要だ。
アプリ側の対応に加えて、Homebrewや各OSのアップデートも重なった。攻撃の対象になるのはアプリだけではなく、ビルドや署名に使うMacや検証用の端末が狙われれば影響は大きい。HomebrewのパッケージやmacOS、テスト端末のiOSも後回しにせず、積極的にアップデートしておきたい。
iOS 27.2が出たことで、ATTの拡張プロンプトやlayout marginsの変更が既存のiPhoneにも及ぶ可能性が出てきた。一方でXcode 27.2はRCのままなので、27.2 SDKを前提にした対応をすぐ出したい場合はRCで申請することになる。正式版を待つかどうかは、変更の急ぎ具合で判断したい。
サブスクリプションを提供しているアプリは、マルチシート購入がデフォルトで有効になっている点に注意したい。法人に売る想定がないのに有効のままでも大きな問題にはならないと思うが、意図しない販売経路が増えていないか、一度App Store Connectで見ておくと安心だ。
iOSアプリ開発を取り巻く情報は変化が速いため、また気になる変更がまとまったタイミングで記事にしたいと考えている。
求人情報: クラスメソッドでは iOSエンジニアを募集しています
スターバックスデジタルテクノロジー部では、iOSアプリ開発のできるエンジニアを募集しています。misc-ios チャンネルで、新しいXcodeやiOSの機能についてあれこれ共有しながら一緒に働いてくれる方の応募をお待ちしております！
その他の領域でもiOS/Androidエンジニアを募集しています。一緒にモバイルアプリ開発についてお話ししましょう！
