Apple выпустила обновления безопасности для старых iPhone и iPad. Они устраняют уязвимость, которая, по сведениям компании, могла использоваться в сложной атаке на конкретных людей. Обновления вышли 26 октября и уже доступны для установки.
Уязвимость CVE-2026-86950 затрагивает CoreGraphics, компонент Apple для работы с графикой и документами. Согласно описанию обновлений Apple, обработка специально подготовленного файла могла привести к выполнению произвольного кода. Причиной была запись данных за пределы выделенной области памяти. Компания усилила проверку границ и указала, что сообщение об ошибке поступило от Meta* Product Security.
Apple знает о сообщении, согласно которому уязвимость могли использовать в чрезвычайно сложной атаке против отдельных людей на версиях iOS до iOS 27. Компания не назвала ни атакующих, ни пострадавших. Из опубликованного описания также нельзя понять, как вредоносный файл попадал на устройства и требовалось ли пользователю открывать его самостоятельно.
Исправление вошло в iOS 18.7.11 и iPadOS 18.7.11. Среди устройств, для которых доступны эти версии, Apple перечисляет iPhone XS, iPhone XS Max, iPhone XR и iPad седьмого поколения. В перечне также указаны iPad Air начиная с четвёртого поколения, iPad начиная с девятого поколения и iPad mini начиная с шестого поколения. Владельцы устройств могут проверить наличие обновления в разделе «Настройки» → «Основные» → «Обновление ПО».
Те же выпуски устраняют ещё две ошибки безопасности. Уязвимость CVE-2026-65339 в аудиокомпоненте могла позволить приложению раскрыть конфиденциальные данные пользователя; Apple исправила логическую ошибку дополнительными проверками. Уязвимость CVE-2026-86990 в CoreMedia давала вредоносному приложению возможность получить доступ к камере без разрешения. Для её устранения компания ужесточила ограничения доступа. Предупреждения о возможном использовании этих двух ошибок в атаках в описании обновления нет.
Для CVE-2026-65339 Apple указала в числе обнаруживших ошибку Мустафу Чалапа и Ника Цыцаркина из Meta* Red Team X. Об ошибке с доступом к камере сообщил Мустафа Чалап. Установка новых версий закрывает описанные уязвимости, но сама по себе не позволяет определить, было ли устройство скомпрометировано до обновления.
* Принадлежит компании Meta, она признана экстремистской организацией в РФ и её деятельность запрещена.
