Apple выпустила исправление опасной уязвимости для iPhone XS, XS Max и XR, хотя новые устройства получили защиту ещё месяц назад. Ошибка в CoreGraphics позволяет выполнить произвольный код через вредоносный файл. Apple допускает, что брешь уже применяли в сложных целевых атаках.
26 октября компания выпустила iOS 18.7.11 и iPadOS 18.7.11, перенеся сентябрьский патч на устройства, которые не могут перейти на новые версии системы. Обновление предназначено для iPhone XS, XS Max, XR и iPad седьмого поколения. Исправление CoreGraphics также указано для некоторых других моделей планшетов, использующих iPadOS 18.
Речь идёт об уязвимости CVE-2026-86950, которую обнаружили исследователи Meta* Product Security. Проблема связана с записью за пределы выделенной области памяти. Когда система обрабатывает специально подготовленный файл, ошибка может привести к повреждению данных и выполнению произвольного кода. Apple устранила нарушение дополнительными проверками границ памяти.
CoreGraphics представляет собой системный компонент для работы с двухмерной графикой. Через него приложения выводят изображения, текст и графические объекты. Поэтому для атаки потенциально может хватить обработки вредоносного файла, но Apple не раскрывает формат, способ доставки или другие технические детали применявшегося эксплойта.
По формулировке Apple, компания получила сведения о том, что CVE-2026-86950 могла использоваться в чрезвычайно сложной атаке против конкретных людей на устройствах с версиями iOS до 27. Производитель не назвал пострадавших, организаторов кампании и количество случаев. Признаков массовой эксплуатации в опубликованном предупреждении нет.
Первое исправление вышло 28 сентября в iOS 26.7.1 и iPadOS 26.7.1 для iPhone 11 и более новых моделей, а также совместимых iPad. Тогда же Apple закрыла брешь в macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Владельцы более старых iPhone получили аналогичную защиту только с октябрьским выпуском iOS 18.7.11.
Помимо CoreGraphics, октябрьское обновление iOS 18 исправляет ошибку в Audio, из-за которой приложение могло получить конфиденциальную информацию пользователя. Ещё одна проблема затрагивает CoreMedia и при определённых условиях позволяет вредоносному приложению обратиться к камере без разрешения владельца устройства. Для обеих ошибок Apple также выпустила исправления.
Apple перечислила все три исправления в бюллетене безопасности. Владельцам поддерживаемых устройств стоит открыть «Настройки», затем «Основные» и «Обновление ПО», чтобы установить доступную версию системы. Ранее специалисты уже разбирали опасность обработки изображений на iPhone. Нынешний выпуск расширяет защиту на старые модели, которые продолжают работать на iOS 18.
* Компания Meta и её продукты, включая Instagram, Facebook и Threads, признаны экстремистскими, их деятельность запрещена на территории РФ.