バイナンスがiOSの脆弱性について注意喚起
海外大手暗号資産（仮想通貨）取引所バイナンス（Binance）が、米アップル（Apple）提供のiOSに存在する脆弱性「worse_query」について11月10日に警告した。この脆弱性により、暗号資産ウォレットのシードフレーズや秘密鍵、ログイン認証情報が危険にさらされる可能性があるとのことだ。バイナンスは利用者に対し、信頼できない提供元からインストールしたアプリの削除や、iOSの更新などを呼びかけている。
バイナンスによると、今回の脆弱性はiOS 26.7.1、27.0.1、27.2に影響するという。同社は、この問題がバイナンス固有のものではなく、iOS自体の問題であると説明している。
worse_queryは、iOSの「サンドボックス」と呼ばれるセキュリティ機能を回避する手法だ。サンドボックスはアプリごとにデータへのアクセスを制限する仕組みで、通常は他のアプリの保存データを無断で読み取ることを防いでいる。しかし、今回の脆弱性を悪用すると、悪意のあるアプリがこの制限を回避し、他のアプリのデータにアクセスできる可能性がある。
この手法は、セキュリティ研究者のフォースクイット（forcequit）が、別の研究者であるゼロエックスジョニー（0xjohnny）氏と共同で公開したものだ。フォースクイットは11月9日、自身のXアカウントでworse_queryを紹介し、脆弱性を実証するためのプログラム（PoC）をGitHub上で公開した。GitHubの説明では、対象となるバージョンはiOS 26.0〜26.7.2および27.2とされている。なお、研究者は公開したPoCについて、開発者向けのものであり、単体では実用的ではないと説明している。
ブロックチェーンセキュリティ企業のスローミスト（SlowMist）は、今回の脆弱性自体が暗号資産を盗むわけではないと説明している。具体的には、ウォレットがシードフレーズや秘密鍵などの機密情報を暗号化せずに端末内へ保存している場合、悪意のあるアプリによって読み取られるおそれがあるとのことだ。
バイナンスは対策として、信頼できない提供元からインストールしたアプリの削除を推奨している。具体的には、公式アプリストア以外からアプリをインストールする「サイドロード」で導入したアプリや、手動で署名されたIPAファイル（iOSアプリのインストール用ファイル）を使って導入したアプリなどを挙げている。また、iOSとすべてのアプリを最新の公式バージョンに更新することも求めた。
さらに同社は、端末が侵害された疑いがある場合、安全な端末で作成した新しいウォレットに資金を移し、有効なログインセッションをすべてリセットするよう呼びかけている。
一方、バイナンスの広報担当者は海外メディア「コインテレグラフ（Cointelegraph）」に対し、今回の脆弱性を悪用した暗号資産ウォレットへのアクセスや資金の窃取は確認されていないと説明した。
アップルは11月9日、複数の脆弱性を修正した「iOS 27.2.1」および「iOS 26.7.3」を公開した。ただし、両バージョンの公式セキュリティ情報にworse_queryへの言及はない。なお、フォースクイット氏は11月10日、自身のXで、iOS 27.2.1およびiOS 27.3 beta 1では同脆弱性が修正されていないと説明している。
A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance. Immediate Action Required: – Delete any apps installed from untrusted sources (such as sideloaded or manually signed IPAs). – Update iOS and all apps to the latest official versions. – If you suspect a breach, transfer funds to a new wallet created on a clean device and reset all active login sessions. Never install unauthorized packages, and keep your software up to date.
— Binance (@binance) November 10, 2026
🚨 SlowMist TI Alert: iOS sandbox escape 0day PoC “worse_query” disclosed 🚨 A public PoC for a sandbox escape 0day, worse_query, targets iOS 26.0–26.7.2 and iOS 27.2. It is the successor to bad_query. 📱 ⚠️ This is a container sandbox escape, not a jailbreak. It breaks the assumption that apps can’t see each other: a malicious app that successfully exploits it can reach system paths and read or modify other apps’ data. 💸 The bug does not steal assets by itself. The real risk starts when a user installs an app from an untrusted source, such as a sideloaded IPA. If a wallet stores its seed phrase, keystore or WebView cache in plaintext locally, a malicious app could read it. 🛡️ Recommendations: 🔸 Don’t install IPAs or apps from unknown sources 🔸 Keep iOS up to date and install Apple’s fix as soon as one is released 🔸 Wallet developers: don’t store sensitive data in plaintext locally 🔸 If you installed an untrusted app on a device holding wallets, treat it as risky and consider moving assets to a new wallet created on a clean device 🔗 https://t.co/sIP4hX85TR
— SlowMist (@SlowMist_Team) November 10, 2026
Introducing worse_query, a zero-day sandbox escape for iOS 26 and 27, again. In collaboration with @0xjohnny! https://t.co/dOZF8oaaw0
— forcequit (@forcequitOS) November 8, 2026
参考：ギットハブ・アップル・コインテレグラフ
画像：PIXTA