Групповые чаты iMessage могли раскрывать переписку посторонним даже без взлома учётной записи. Apple подтвердила две уязвимости, позволявшие удалённо вступить в чужую беседу или прочитать сообщения, отправленные до добавления в группу. Патчи понадобились не только iPhone и iPad, но и компьютерам Mac, Apple Watch и Apple Vision Pro. Проблемы скрывались в проверках доступа.
Первая ошибка, CVE-2026-113961, затрагивала проверку прав участников групповой переписки. Из-за некорректной авторизации злоумышленник потенциально мог вступить в чужой чат через сеть и получать сообщения. Apple исправила проверку разрешений. Дополнительная оценка опасности составляет 7,5 балла по CVSS 3.1, что соответствует высокому уровню риска.
Вторая проблема, CVE-2026-113960, касалась истории беседы. Пользователь, которого законно добавили в группу, при определённых условиях мог получить доступ к сообщениям, отправленным ещё до присоединения. В отличие от дистанционного обхода членства, здесь предполагалось реальное добавление в чат. Для устранения ошибки Apple полностью удалила уязвимый код.
Обе ошибки связаны с правами доступа в компоненте Messages, а не со взломом криптографии iMessage. Сквозное шифрование защищает сообщения при передаче между устройствами, однако само по себе не гарантирует, что получатель обладает правом участвовать в беседе или читать старую переписку. Точные технические шаги эксплуатации Apple не раскрыла.
Патчи вышли 9 ноября в iOS и iPadOS 26.7.3 и 27.2.1. Владельцам Mac доступны macOS Sequoia 15.8.3, Tahoe 26.7.3 и Golden Gate 27.2.1. Для часов Apple Watch Series 9 и новее выпущена watchOS 27.2.1, для всех моделей Apple Vision Pro подготовлена visionOS 27.2.1. Во всех перечисленных бюллетенях присутствуют оба идентификатора CVE. Пакеты также закрыли ошибки Bluetooth и AirPlay.
На iPhone исправления доступны начиная с iPhone 11. Для iPad поддерживаемые модели различаются в зависимости от ветки системы. В iPadOS 26.7.3 входят, в частности, iPad восьмого поколения и iPad mini пятого поколения, тогда как iPadOS 27.2.1 предназначена для более новых планшетов. Наличие исправления нужно сверять с конкретной версией операционной системы.
Отдельно Apple выпустила iOS 18.7.12 для iPhone XS, XS Max и XR, а также iPadOS 18.7.12 для iPad седьмого поколения. В бюллетене компания перечислила другие исправления, но обе ошибки iMessage там отсутствуют. Похожая ситуация с watchOS 26.6.1 для более старых часов. Однако отсутствие CVE в бюллетене ещё не доказывает, что соответствующие устройства уязвимы.
Обе находки Apple приписывает анонимному автору. На 10 ноября компания не сообщила о случаях эксплуатации, опубликованных инструментах атаки или пострадавших. Для CVE-2026-113960 оценка CVSS пока отсутствует. Apple не уточнила, заметят ли участники постороннее подключение и должны ли все устройства в группе получить обновление для полной защиты.
