В iOS 26 и 27 приложения могут получить доступ к чужим файлам

Поэтому пользователям с криптокошельками Binance советует проверить установленные приложения: среди потенциально доступных данных могут быть сведения для входа и восстановления кошелька. Как сообщает The Hacker News, подтверждённых случаев кражи средств с помощью этой уязвимости не выявлено.

Уязвимость получила название worse_query. Она позволяет приложению выйти за пределы собственной изолированной среды и читать файлы других приложений. Binance перечислила среди потенциально доступных данных сид-фразы, приватные ключи и учётные данные. Сид-фраза — это набор слов для восстановления криптокошелька: доступ к ней может дать постороннему контроль над средствами.

В предупреждении Binance названы iOS 26.7.1, 27.0.1 и 27.2. Эти версии перечислены среди проверенных в описании приложения, созданного на основе worse_query; исследователь указывает более широкий диапазон. Биржа подчёркивает, что проблема затрагивает iOS, а не только её собственные приложения. Она не назвала ни одного конкретного кошелька, данные которого удалось получить через уязвимость.

Как обнаружили уязвимость

Исследователь под псевдонимом forcequit опубликовал демонстрационный код на GitHub 8 ноября 2026 года. Он работал совместно с исследователем 0xjohnny. Код даёт доступ к каталогам данных всех приложений на iPhone, а в iOS 27 — также к некоторым системным папкам. Для его использования приложению требуется настроить общий контейнер App Group.

Forcequit говорит, что опубликовал код для разработчиков и сам по себе он бесполезен. Другие разработчики уже создали на его основе устанавливаемые приложения. Среди них файловый менеджер WQ Files: он может читать, изменять и удалять данные других приложений без джейлбрейка и эксплуатации уязвимости ядра. Его устанавливают через инструменты сторонней загрузки приложений AltStore и SideStore; неизвестно, сможет ли приложение из App Store использовать тот же механизм.

9 ноября Apple выпустила iOS 27.2.1 и 26.7.3. В описаниях безопасности этих обновлений указаны исправления ошибок iMessage и Bluetooth, но worse_query и проблемы изоляции приложений там не упомянуты. Подтверждения, что уязвимость устранена, нет. Разработчики приложения Erosion добавили iOS 27.2.1 в список поддерживаемых версий, оговорив, что лишь предполагают наличие уязвимости в этом выпуске; iOS 26.7.3 в опубликованных списках нет.

Защита криптокошельков на iPhone

Binance советует удалить приложения из ненадёжных источников, в том числе установленные в обход App Store или подписанные вручную. Биржа также рекомендует обновить iOS и остальные приложения до последних официальных версий. Обновление остаётся в списке рекомендаций, хотя исправление именно для worse_query не подтверждено.

Если есть подозрение, что устройство уже было скомпрометировано, Binance рекомендует создать новый кошелёк на чистом устройстве, перевести туда средства и завершить все активные сеансы входа. Компания SlowMist уточняет, что вредоносное приложение может прочитать фразу восстановления, если кошелёк хранит её на устройстве в незашифрованном виде. Записанная на бумаге сид-фраза не находится среди файлов телефона, к которым относится предупреждение.

Binance сообщила, что не обнаружила подтверждённых случаев, когда злоумышленники использовали эту уязвимость для доступа к криптокошелькам или кражи средств. В сентябре биржа выпускала отдельное предупреждение о другом вредоносном приложении, использовавшем уязвимости iOS. Нынешнее сообщение касается доступа к файлам между приложениями; дату выпуска исправления Apple не объявляла.