2021年に採番された脆弱性が2026年にKEV入り（CVE-2021-30952）― Appleの5製品が同時に対象になる「Multiple Products」という括り

1整数があふれるとなぜコードが動くのか

整数オーバーフローは、計算結果が変数の扱える範囲を超えて、意図しない小さな値や負の値に化けてしまう現象である。単なる計算間違いに見えるが、その値がメモリ確保の大きさとして使われると話が変わる。確保した領域より大きなデータが書き込まれ、本来書き換わってはならない場所が上書きされる。

そこから実行の流れを乗っ取るのが典型的な筋道で、この記録が任意コード実行に至りうるとしているのはそのためである。

25年の隔たりが記録に残る

CVE番号は2021年に採番されており、KEVへの追加は2026年である。2026年8月28日時点で当サイトが保持するKEVの記録1,685件について、CVEの採番年とKEV追加年の差を数えると、同年が722件で43%を占める。一方でこの記録のように隔たりの大きいものも一定数あり、KEVが新しい脆弱性の速報ではなく、悪用が確認されたものの台帳であることを示している。古いというだけで対象から外せない理由がここにある。

3「Multiple Products」という表記

カタログはこの記録の製品名を Multiple Products とし、本文でtvOS、macOS、Safari、iPadOS、watchOS の5つを挙げている。異なる用途の製品が同じ脆弱性を共有するのは、Webコンテンツの処理という共通の基盤を持つためである。

2026年8月28日時点で当サイトが保持する1,685件を製品名で束ねると、Apple Multiple Products という括りだけで53件あり、Microsoft Windows の172件、Google Chromium V8 の39件と並ぶ規模になる。1つの基盤の不具合が、利用者から見れば別々の製品として現れる構図が読み取れる。