Компания Apple устранила уязвимость в системах iOS 26, iPadOS 26 и macOS 26, которая, по заявлению производителя, могла использоваться злоумышленниками. По данным TechCrunch, ошибка позволяла проводить «чрезвычайно изощрённую атаку против конкретных целенаправленных лиц на версиях iOS до iOS 27». Сведения об исправлении опубликованы на странице безопасности Apple.
Проблема затрагивала основной графический движок, отвечающий за работу интерфейса и визуальных элементов на iPhone, iPad и Mac. Уязвимости присвоен идентификатор CVE-2026-86950. Автором находки указана команда по безопасности продуктов компании Meta (признана в РФ экстремистской и запрещена).
Подробности о самой ошибке не раскрываются, однако графический движок обычно имеет широкий доступ к остальной части операционной системы устройства. Успешная эксплуатация уязвимости теоретически могла позволить хакеру похитить самые разные персональные данные с пострадавшего гаджета. Представители Apple и Meta (признана в РФ экстремистской и запрещена) не стали комментировать, как была обнаружена брешь, сколько устройств могло пострадать и кто именно стоит за возможными атаками — производители шпионского ПО или киберпреступники.
Хотя уязвимость касается предыдущего поколения операционных систем Apple, они по-прежнему широко распространены. Согласно статистике самой компании, почти четыре из пяти владельцев iPhone используют iOS 26. Устройства на iOS 27, iPadOS 27 и macOS 27, выпущенных ранее в этом месяце, во вторник также получили обновление, но под атаку они не попадают.
Незадолго до этого Apple закрыла ещё одну критическую уязвимость под номером CVE-2026-86869, которая могла позволить хакерам незаметно похищать данные с iPhone, iPad и Mac. Бельгийская компания ironPeak, специализирующаяся на кибербезопасности, на прошлой неделе опубликовала подробный разбор, пояснив, что речь идёт об уязвимости типа «zero-click» (без клика), которую можно было незаметно активировать через специально сформированное сообщение iMessage, без ведома пользователя. Такие бреши не требуют от жертвы никаких действий, например перехода по ссылке, и очень востребованы у производителей средств слежки и шпионского ПО.
По данным ironPeak, ошибка позволяла обойти BlastDoor — защитный механизм Apple, не дающий вредоносному коду вроде шпионских программ вырваться из изолированной среды iMessage и взломать устройство. Apple закрыла эту брешь в сентябре с выходом iOS 27, iPadOS 27 и macOS 27, указав автором находки Нильса Хофманса из ironPeak, а также исследователей безопасности из Meta (признана в РФ экстремистской и запрещена), подтвердивших выводы в публикации на платформе X. Пока неизвестно, использовалась ли эта уязвимость в кибератаках до того, как её устранили.