Компания Apple выпустила обновления безопасности, устраняющие уязвимость нулевого дня, которая, по данным компании, применялась в «чрезвычайно сложной атаке» против ограниченного круга пользователей.
Проблема отслеживается под идентификатором CVE-2026-20700. Это уязвимость произвольного выполнения кода в компоненте dyld — динамическом загрузчике (Dynamic Link Editor), который используется во всех ОС Apple: iOS, iPadOS, macOS, tvOS, watchOS и visionOS.
В бюллетене безопасности Apple указано, что злоумышленник, обладающий возможностью записи в память устройства, потенциально может выполнить произвольный код на уязвимых устройствах.
Компания также сообщила, что ей известно о случаях эксплуатации этой уязвимости вместе с CVE-2025-14174 и CVE-2025-43529, которые были устранены в декабре. По данным Apple, все три проблемы использовались в рамках одних и тех же инцидентов.
Apple сообщает:
Злоумышленник, обладающий возможностью записи в память устройства, потенциально мог выполнить произвольный код на уязвимой системе.
Apple известно о сообщении, согласно которому эта уязвимость могла быть использована в чрезвычайно изощренной атаке против конкретных целевых лиц на версиях iOS до iOS 26. Уязвимости CVE-2025-14174 и CVE-2025-43529 также были опубликованы в ответ на этот отчёт.
Apple уточнила, что уязвимость CVE-2026-20700 была обнаружена специалистами Google Threat Analysis Group (TAG). Дополнительные технические детали о способе эксплуатации компания не раскрыла.
Затронутые устройства
Под угрозой находились следующие устройства:
- iPhone 11 и более новые модели
- iPad Pro 12,9 дюйма (3-го поколения и новее)
- iPad Pro 11 дюймов (1-го поколения и новее)
- iPad Air (3-го поколения и новее)
- iPad (8-го поколения и новее)
- iPad mini (5-го поколения и новее)
- Компьютеры Mac под управлением macOS Tahoe
В каких версиях исправлена проблема
Apple устранила уязвимость в версиях iOS 18.7.5, iPadOS 18.7.5, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 и visionOS 26.3.
Хотя компания отмечает, что эксплуатация происходила в рамках целевых атак против отдельных пользователей, всем владельцам затронутых устройств рекомендуется установить последние обновления для защиты своих систем.
Это первая уязвимость нулевого дня, исправленная Apple в 2026 году. В 2025 году компания закрыла семь уязвимостей нулевого дня.