Источник фото: TechCrunch
Apple устранила уязвимость в операционных системах iOS 26, iPadOS 26 и macOS 26, которую, по словам компании, хакеры «могли использовать». Ошибка позволяла организовать «чрезвычайно сложную атаку против конкретных пользователей» устройств с версиями iOS до iOS 27. Уязвимости присвоили идентификатор CVE-2026-86950.
Проблему обнаружили в основном графическом движке, отвечающем за интерфейс и визуальные элементы iPhone, iPad и Mac. Согласно данным на странице безопасности Apple, исследование провела команда Meta (признана в РФ экстремистской и запрещена), отвечающая за безопасность продуктов компании. Подробности механизма атаки Apple не раскрыла.
Графический движок обычно взаимодействует с широким набором компонентов операционной системы. Поэтому успешная эксплуатация ошибки потенциально могла дать злоумышленнику доступ к большому объёму личных данных на заражённом устройстве. Apple и Meta (признана в РФ экстремистской и запрещена) не сообщили TechCrunch, как именно выявили уязвимость и были ли фактически взломаны устройства пользователей.
Не установлено и то, кто мог применять эту ошибку: разработчики шпионского программного обеспечения по заказу государств или киберпреступники. Уязвимость затрагивала предыдущие версии систем, которые остаются распространёнными. По статистике Apple, почти четыре из пяти владельцев iPhone всё ещё используют iOS 26.
Во вторник обновления получили также устройства на iOS 27, iPadOS 27 и macOS 27, выпущенных в начале этого месяца, однако новая версия систем этой атаке не подвержена. Незадолго до этого Apple закрыла другую критическую уязвимость — CVE-2026-86869. Она позволяла незаметно похищать данные с iPhone, iPad и Mac.
Как сообщила бельгийская компания по исследованию кибербезопасности ironPeak, эта ошибка относилась к классу «нулевого взаимодействия»: её можно было активировать скрытно с помощью специально сформированного сообщения iMessage, не требуя от владельца устройства перехода по ссылке или другого действия. Уязвимость позволяла обойти защитный механизм BlastDoor, который Apple создала для изоляции вредоносного кода и шпионских программ внутри iMessage. Apple исправила проблему в сентябре с выходом iOS 27, iPadOS 27 и macOS 27, указав среди обнаруживших её исследователя ironPeak Нильса Хофманса и специалистов по безопасности Meta (признана в РФ экстремистской и запрещена); неизвестно, применялась ли эта ошибка в кибератаках до выпуска исправления.