Apple は 2026 年 5 月 13 日、Safari 26.5 を macOS Sonoma と macOS Sequoia 向けに公開しました[1]。修正された CVE は WebKit が 20 件、WebRTC が 1 件の合計 21 件で、Content Security Policy(CSP)回避や use-after-free による Safari/プロセスのクラッシュ、機微情報の漏えいなどが含まれます[1][2]。同じ WebKit 修正は 2 日前の macOS Tahoe 26.5(5 月 11 日公開)にも内蔵されており、今回の Safari 26.5 は Tahoe に未移行のユーザー向けの単独配信となります[2][3]。
配信日と対象、修正規模
Apple のセキュリティリリース 127121 には、Safari 26.5 の公開日が 2026 年 5 月 13 日と明記されています[1]。対象は macOS Sonoma と macOS Sequoia の 2 系統で、現行最新の macOS Tahoe には適用されません[1]。macOS Tahoe 利用者は、5 月 11 日に配信された Tahoe 26.5(セキュリティリリース 127115)に同等の WebKit 修正がバンドル済みです[3]。
修正された脆弱性は CVE-ID ベースで 21 件にのぼり、内訳は WebKit が 20 件、WebRTC が 1 件です[1]。9to5Mac は今回の単独 Safari 配信を「20 件の WebKit 脆弱性と、プロセスクラッシュを引き起こしうる WebRTC の 1 件を修正するもの」と整理しています[2]。
WebKit 計 20 件 — CSP 回避と use-after-free が中心
WebKit では Content Security Policy が悪意ある Web コンテンツに対して適用されないバリデーション問題 CVE-2026-43660 と、同様の挙動を入力検証で塞いだ CVE-2026-28907 がまず修正されました[1]。機微情報の開示につながる CVE-2026-28962 はアクセス制限の強化で、アプリから機微なユーザーデータにアクセスされうる CVE-2026-28958 はデータ保護の改善で対処しています[1]。
メモリ処理の改善で塞がれた Safari クラッシュ系として CVE-2026-43658、プロセスクラッシュを引き起こすメモリハンドリング系として CVE-2026-28905、CVE-2026-28847、CVE-2026-28904、CVE-2026-28955、CVE-2026-28903、CVE-2026-28953、CVE-2026-28902、CVE-2026-28901、CVE-2026-28913 の 9 件が修正されました[1]。さらに use-after-free を伴うプロセスクラッシュとして CVE-2026-28883、入力検証で対処したプロセスクラッシュとして CVE-2026-28917 が並び、Safari クラッシュにつながる use-after-free としては CVE-2026-28947、CVE-2026-28946、CVE-2026-28942 の 3 件が修正されています[1]。UI ハンドリングを改善した CVE-2026-28971 は、悪意ある iframe が別サイトのダウンロード設定を流用するシナリオを塞いだものです[1]。
WebRTC と Anthropic の関与
WebRTC では、悪意ある Web コンテンツが予期せぬプロセスクラッシュを引き起こす可能性のあった問題 CVE-2026-28944 が、メモリハンドリングの改善で修正されました[1]。発見者には Palo Alto Networks の Kenneth Hsu 氏らがクレジットされています[1]。
注目点として、WebKit の use-after-free 修正 CVE-2026-28942 のクレジットには「Milad Nasr 氏と Nicholas Carlini 氏(Claude と Anthropic と共同)」と記載されており、5 月 11 日に公開された iOS 26.5 / macOS Tahoe 26.5 の同等修正と同じ表現が踏襲されています[1][3]。同社の研究者が Claude を併用して発見したことを Apple が明示する形が、Safari 単独配信でも維持された格好です。
まとめ
Safari 26.5 は新機能の追加ではなく、WebKit と WebRTC に存在した 21 件の CVE を一括で塞ぐセキュリティ専用のアップデートです。macOS Tahoe 26.5 と同等の WebKit 修正を、Sonoma および Sequoia 利用者にも届ける橋渡しの位置づけになります。System Settings の「ソフトウェアアップデート」から速やかに 26.5 へ更新することが推奨されます。
