暗号資産（仮想通貨）取引所大手のバイナンスは10日、iPhoneの基本ソフト（iOS）に、不正なアプリがほかのアプリのファイルを読めてしまう弱点「worse_query」があるとして、利用者に警告した。シードフレーズや秘密鍵、ログイン情報が漏れるおそれがあるという。同社は、バイナンスに限らないiOS自体の問題だとしている。
バイナンスが挙げたiOSのバージョンと3つの対策
バイナンスが10日18時56分（日本時間）に出した警告によると、影響を受けるのはiOS 26.7.1、27.0.1、27.2。悪意のあるアプリが、ほかのアプリが端末に保存したファイルを読み取れるという。
同社がすぐに取るよう求めた対応は次の3つ。
- 信頼できない配布元から入れたアプリ（サイドロードや手動で署名したIPAファイル）を削除する
- iOSとすべてのアプリを最新の公式版にする
- 侵害が疑われる場合は、安全な端末で新しく作ったウォレットに資金を移し、ログイン中のセッションをすべてリセットする
アップル（AAPL）のサポート文書によると、iPhoneに入っているiOSのバージョンは「設定」の「一般」にある「ソフトウェアアップデート」で確かめられる。同じ画面に、更新が出ているかも表示される。ただ、最新版でworse_queryを防げるかは、バイナンスもアップルも示していない。
アップルの別の文書によると、手動で入れた企業向けのアプリ（エンタープライズアプリ）は、「一般」の「VPNとデバイス管理」に開発元が表示され、そこから開発元のアプリをまとめて削除できる。
警告は、実際に資金が盗まれた被害が出たかには触れていない。なお、金融庁は2018年3月にバイナンス、2021年6月にその運営会社へ、無登録で暗号資産交換業を行う者として警告書を出している。
開発者の資料の見出しはiOS 26.0〜26.7.2と27.2
worse_queryは、開発者向けのコード共有サイトGitHub（ギットハブ）で「forcequitOS」の名前で活動する開発者が公開している手法で、アプリを閉じ込めておく仕組み（サンドボックス）から抜け出すものだという。資料を置く場所（リポジトリ）は9日2時（日本時間）に作られた。
資料の見出しは、対象をiOS 26.0〜26.7.2と27.2としている。iOS 26の系列では、バイナンスが挙げなかった26.7.2まで含む。一方、バイナンスが挙げた27.0.1は、この見出しには書かれていない。
公開者は、資料を開発者向けの概念実証とし、それだけでは役に立たないと説明する。使うにはアプリの側で、複数のアプリが共有する保存場所（App Group）を設定する必要がある。アクセスできる場所として、アプリのデータ領域など7つの場所を挙げ、脱獄（ジェイルブレイク）とは関係がないとも書いている。
アップルは9日にiOSを更新、worse_queryへの言及なし
アップルは9日（米国時間）、iOS 27.2.1と、iOS 26の系列のiOS 26.7.3を公開した。対象はどちらもiPhone 11以降となっている。
2つの更新のセキュリティ情報には、worse_queryの名前もforcequitOSの名前も見当たらない。
27.2.1の一覧には、App Intentsという機能で、アプリが利用者の機微なデータにアクセスできるおそれのある認可の問題（CVE-2026-113963）の修正が入っている。ただ、worse_queryと同じものかは書かれておらず、26.7.3の一覧にこの項目は含まれていない。
アップルはセキュリティ情報のページで、一般的な方針として、調査を終えて修正や更新を出すまでセキュリティ上の問題を公表・確認しないとしている。
関連：仮想通貨メディアに不正スクリプト、iPhone狙う攻撃の報告で判明
関連：iPhone乗っ取り手法、グーグル公表──暗号資産ウォレット情報流出リスク
