Apple разшири обхвата на защитата срещу критична уязвимост от тип zero-day, след като публикува актуализации за по-стари модели iPhone и iPad. Проблемът, проследяван като CVE-2026-86950, е бил използван при „изключително сложни“ целенасочени атаки срещу устройства с iOS, съобщава компанията.
Уязвимостта засяга CoreGraphics – системна рамка на Apple, използвана за обработка на двумерна графика, изобразяване на текст и визуализация на изображения. Специалисти по сигурността на Meta са открили проблема, който представлява запис извън границите на заделената памет (out-of-bounds write).
При успешно експлоатиране подобен дефект може да доведе до срив на приложения, повреждане на данни или изпълнение на произволен код. Според предупреждението на Apple обработването на специално създаден злонамерен файл може да позволи на нападател да изпълни код върху уязвимото устройство. Компанията е отстранила проблема чрез подобрени проверки на границите на паметта.
Първоначалните корекции бяха публикувани през септември за определени версии на iOS, iPadOS и macOS. Сега Apple разпространява актуализации и за по-стари устройства, сред които iPhone XS, iPhone XS Max и iPhone XR, както и iPad от седмо поколение, iPad Air от четвърто поколение и по-нови модели, iPad от девето поколение и следващи поколения и iPad mini от шесто поколение и по-нови устройства.
Apple уточнява, че има информация за възможна експлоатация на уязвимостта при силно ограничени и прецизно насочени атаки срещу конкретни лица с версии на iOS преди iOS 27. Компанията не посочва публично кои са целите или кой стои зад атаките.
Въпреки ограничения обхват на известните атаки, инсталирането на наличните актуализации е силно препоръчително. Фактът, че дадена уязвимост се използва срещу конкретни цели, не изключва възможността информацията за нея да бъде използвана и от други нападатели.
С CVE-2026-86950 Apple вече е отстранила две уязвимости от тип zero-day, за които има данни за използване при целенасочени атаки през 2026 г. Другата, CVE-2026-20700, засяга dyld – компонента за динамично свързване на библиотеки в операционните системи на Apple. Тя беше поправена през февруари след съобщения за използването ѝ в също толкова сложни атаки.
През годината компанията отстрани и сериозна уязвимост в безжичните слушалки Beats Studio Buds, която е можела да позволи на нападатели в Bluetooth обхват да подслушват разговори. Apple публикува и корекции за по-стари iPhone и iPad срещу четири уязвимости, използвани при кибершпионаж и кражба на криптовалути чрез експлойт комплекта Coruna.
Случаят отново подчертава значението на актуализациите и за устройства, които вече не са от най-новото поколение. При целенасочени атаки компрометирането на компонент за обработка на графично съдържание може да осигури входна точка за последващи действия. Потребителите и организациите, които разчитат на по-стари устройства на Apple, трябва да проверят наличните версии на софтуера и да приложат съответните корекции своевременно.
