脆弱性を発見し報告した技術者のTwitterのタイムラインとその公開ツイート

「ありえねー」「チョー重大すぎて笑っちゃう」「これはさすがにマズイだろー」

2017年11月末、世界中のアップル製パソコン「マック」のユーザーに不安の連鎖が拡散した。原因は、アップルの信じられないミスだ。アップルが17年9月に無料配布を始めた最新のmacOS「High Sierra」において、ユーザー名の入力欄に「root」と打ち込めば、パスワードの入力なしに管理者としてログインできるバグが発見されたのだ。

「管理者」は、その名が示すとおり、同じパソコンを共有するほかのユーザーのファイル内容を改ざんするなど、その気になれば、あらゆる悪事を働くことが可能だ。

01年に登場したmacOSの歴史を振り返っても、さすがにこれほど重大な脆弱性を伴う「穴」は先例がない。同時にあまりにも初歩的なミスであり、アップルの管理体制を疑う声は多方面から聞こえてくる。

この脆弱性を発見し公表したのは、トルコの技術者向け交流サイトの創設者である、Lemi Orhan Ergin氏。ことの重大さに危機感を覚えたのか、11月29日にアップル宛に「アップルはこの問題を把握しているのか」と公開ツイートした。一種の公開質問状である。

情報は瞬く間に拡散し、主要なオンライン系ニュースメディアも速報を打った。米国の国土安全保障省のセキュリティ機関であるUS－CERTも、脆弱性に関する勧告を発表し、その深刻度を「危険」と評価した。

さすがにアップルも慌てたようで、騒ぎ勃発から24時間も経たないうちに「穴」を埋める修正プログラムを、OS標準搭載の自動アップデートの形で配布した。だが、アップデートの通知や説明に脆弱性への対応を示す文言は微塵もなかった。重大な事象であるにもかかわらず、「このアップデートをなるべく早くインストールしてください」とあるだけだった。

パッチの配布で騒ぎが収束するかに思われたが、アップルの意に反して即終結とはいかなかった。今回の脆弱性はHigh Sierraの「バージョン10.13.1」の穴に起因するものだったが、10.13.1にアップデートする前の10.13ユーザーが修正プログラムを適用し、その後10.13.1にアップデートすると、再び「穴」が復活するというお粗末な修正だった。

また、このアップデートは適用後の再起動を促さない仕組みだったため、再起動しないで使い続けたユーザーは修正プログラムが適用されないままの状態だった。アップルは20年近く前から、待機時は電力消費がほとんどないとの理由で、コンピューター不使用時は「終了」ではなく、「スリープ」にすることを推奨してきたのが災いした。

その後、アップルは12月6日になってHigh Sierraの10.13.2へのアップデートでようやく騒ぎを収束させた。

プログラムにバグは付きものと言われる。パソコンやスマートフォンは、頻繁にアップデートを実施することでその「穴」を塞ぐ。今回の問題は、検証作業が不十分なことに起因する管理体制の甘さからくるものだ。アップルは、弊誌の質問状取材に対し「このような事が再び起こらないよう開発プロセスを監査する」との回答を寄せ、再発の防止を約束した。