Swiftの脆弱性情報まとめ

2026年に公表されたもののうち、Swiftのサーバー開発とiOS・macOSのアプリでよく使われるパッケージで確かめておきたいものです。米CISAのKEV（悪用が確認された脆弱性の一覧、10月30日版）には、Swift本体・Swiftのパッケージの項目は見当たりませんでした。[1]

11月2日時点で上の集計に出ているSwiftの記録は、すべてPyTorchのExecuTorchの5件（2025年公表、10月27日に情報が更新）です。Swiftのパッケージも、Python・Javaと同じ0.7.0で修正されています。[8]

swift.orgのセキュリティのページは、報告の受け付けと、アドバイザリをGitHubのセキュリティアドバイザリで公表することを説明していますが、どの版に修正を出すかの方針は書いていません。[9] 修正を受け取るには、最新の版を使うのが確実です。11月2日時点の最新は、10月30日に出た6.4.2です。[10]

AppleのOSでは、Swiftの実行環境と標準ライブラリはOSの一部です（iOS 12.2・macOS 10.14.4以降）。それより前のOSに配るアプリだけが、実行環境の写しを含みます。[11] 標準ライブラリの修正は、利用者の端末ではOSの更新で入ります。

App Store Connectに上げるアプリは、4月28日からXcode 26以降とiOS 26などのSDKでビルドする必要があります。[12] 古いXcodeを固定したビルド環境は、提出できないだけでなく、Swiftのツールチェーンの修正も受けられません。

GitHub Advisory DatabaseはSwift Package Managerのパッケージを扱いますが、CocoaPodsは対象の一覧にありません。[13] DependabotもSwiftのセキュリティ更新に対応していますが、gitで取得するパッケージが対象で、Swiftのレジストリと宣言的でないマニフェストは扱いません。[14]

実際に使われる版はPackage.resolvedで決まります。Xcodeのプロジェクトでは<プロジェクト>.xcodeproj/project.xcworkspace/xcshareddata/swiftpm/Package.resolvedにあります。依存の木を出し、上の表の版と比べます。

swift package show-dependencies
swift package update swift-nio
git diff Package.resolved

CocoaPodsはPodfile.lockの版を見て、各ライブラリのGitHubのアドバイザリやリリースノートで確かめます。

pod outdated
pod update Alamofire

CocoaPodsの公式の配布元（trunk）は、2026年12月2日に新しいPodspecの受け付けを止めます。既存のビルドは動き続けますが、trunkからの依存の更新は届かなくなります。[15] 脆弱性の修正版をtrunkで受け取れなくなるため、Swift Package Managerへの移行を計画します。

OSV-Scannerは、Package.resolvedとPodfile.lockに対応していません。[16]

1. アプリは作り直して配る：パッケージはアプリのバイナリに組み込まれるため、Package.resolvedを直しても、ビルドし直して配るまで利用者の端末は変わりません。iOSのアプリでは、審査を経て利用者が更新するまで時間がかかるため、早めに提出します。
2. サーバーのSwiftはビルド環境の版を見る：Linuxでは、Foundationなどはツールチェーンに含まれます。CIやDockerのイメージでswift --versionを記録し、6.4.2になっているかを確かめます。--static-swift-stdlibで作ったバイナリは標準ライブラリを含むため、ツールチェーンを上げたあとビルドし直します。
3. 使っている機能で対象を絞る：SwiftNIOのHTTP/1の件はHTTPを受けるサーバー、swift-nio-http2の件はHTTP/2からHTTP/1への変換、swift-cryptoの件はX-WingのHPKEを使う場合が対象です。使っていなくても、表の版へ上げておきます。
4. 間接的な依存：VaporやHummingbirdなどのフレームワークはSwiftNIOを引き込みます。Package.resolvedでswift-nioの版を直接確かめます。