iPhoneの「削除済みメッセージ」が復元される脆弱性に終止符！Appleが修正パッチを配布

Appleは、法執行機関がiPhoneの削除済みチャット履歴を抽出するために利用していた脆弱性を修正しました。iOSのアップデートにより、プライバシー保護機能が大幅に強化されています。

Signalには「メッセージを受信しました」という汎用的な通知を表示するオプションがあるから、それを使うのが一般的にも推奨されるよ。

ああ、自分も最初これ勘違いしてた。プッシュ通知ってエンドツーエンドで暗号化されてると思ってたから、通知サービス側で読み取り可能な状態でキャッシュされることはないし、デバイスで受信したアプリが通知を表示するタイミングで初めて復号されるんだとばかり思ってたよ。でも実際は、アプリが通知を復号してOSのAPI経由でユーザーに表示した後、そのテキストがOSによって端末内の通知履歴DBに保存されちゃってたってことか？

プライバシーに関心がある界隈では、これは前から周知の事実だよ。GoogleやAppleは通知の内容をサーバーに送ることが多いからね（つまりアプリの管理範囲外に出てしまう）。

関連する話題として、ここでも議論されてるよ：
https://blog.davidlibeau.fr/push-notifications-are-a-privacy-nightmare/

ありがたいことに、AppleはiOS 18でもその修正をバックポートしてくれたね。

これは端末上にキャッシュが残ってしまうバグだったんだ。AppleとGoogleはほとんどの通知の仲介役になっていて、コンテンツが彼らのサーバーを経由するようになっている。つまり、政府からの令状なしの盗聴要求に対して脆弱だし、その監視を支えるインフラ自体への第三者による攻撃にもさらされやすいってことさ。

もしエンドツーエンドのメッセージを他人に晒したくないなら、通知設定で「メッセージの内容」や「誰からのメッセージか」を表示しないように設定しておくのが吉だよ。

記事で言及されてる「バグ」は問題の一部に過ぎないよ。

最大の問題は、Signalの外にあるDBに通知テキストが保存されてしまうこと自体で、そこには手が入ってないんだ。それを避けるには設定を変えるしかない。

今回の場合、被告はSignalアプリを完全に削除していた。通常、アプリを削除すればそのアプリの通知はDBから削除対象としてマークされるはずだけど、今回のバグはアプリを削除してもローカルのDBから通知が消えずに残っていた、というもの。それが修正されたということだね。

影響：削除対象としてマークされた通知が予期せず端末に残る可能性
説明：ログに関する問題で、データ削除機能が改善された。
CVE-2026-28950

「ログの問題」として分類されてるから、通知自体がDBに直接あったというより、何らかのログの中に残っちゃってたってことかもね。

これを見て思ったんだけど、Cellebriteは法執行機関向けにiPhoneを突破するツールを作っていて、おそらく何らかの脆弱性を突いているよね。AppleはCellebriteのツールを買ってリバースエンジニアリングしたりはしないのかな？それとも合法的に入手する方法がないのか。

こういう話が出るたびに、プライバシーの保証がいかにアプリの境界線までしか及ばないかを痛感するよ。いくらE2Eで暗号化しても、一度レンダリング対象としてOS層に届いてしまえば、OSがその文字列をどう扱うかはOS次第だから。通知を読み取り可能なテキストとして表示しなきゃいけない限り、おそらく解決不可能なカテゴリのバグなんだろうね。

脱獄済みのiOS端末のファイルシステムを見てると、iOSがいかに様々なDBやログを掃除したり、放置したりしているかがわかるよ。何かがトリガーになってクリーンアップされるんだけど、それは大抵、時間経過やiCloudのサインアウトによる消去・再同期がきっかけだね。みんな何年も「システムストレージ」や「その他」が肥大化するって文句を言ってる。面白いのは、SafariのサムネイルDBなんかは、写真の削除やアプリからの保存を繰り返してると何週間も無限に増え続けることだ。OSのバックグラウンド処理が完了するまで、いろんな行動データが端末に残るようになってるんだと思う。物理デバイスからiCloudのバックアップをCorelliumの仮想デバイスにリストアして、既存の端末IDと紐づけて解析できれば面白そう。バックアップ中に何がクリーンアップの引き金になってるかとか、iCloudから具体的に何がリストアされてるか丸見えになるだろうね。あと、iCloud経由で同期されたSafariのブックマークなんかが、デバイス側のアクセス不能なテーブルに押し込まれたまま放置されて、ユーザーからは見えないけどセッション状態としては同期されてる、なんてこともありそうだ。まあ、過去5年間に数台の端末を毎週解析してきた経験に基づく個人的な推測だけどね。