AppleApple адаптировала выпущенные в прошлом месяце исправления безопасности для старых iPhone и iPad. Они устраняют уязвимость нулевого дня, которую использовали в «чрезвычайно сложных» целевых атаках на устройства с iOS.
Бюллетень безопасности iOS 18.7.11 и iPadOS 18.7.11. Изображение: Apple
В сентябре Apple устранила эту же уязвимость на устройствах под управлением iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.
Уязвимость в CoreGraphics позволяет выполнять произвольный код
Специалисты Meta Product Security обнаружили уязвимость записи за пределами буфера, получившую идентификатор CVE-2026-86950, в CoreGraphics. Этот фреймворк используется для работы с двумерной векторной графикой, отрисовки текста и изображений в iOS, macOS, iPadOS, watchOS и tvOS.
Эксплуатация таких уязвимостей позволяет злоумышленникам записывать данные за пределами выделенного буфера памяти. Это может привести к аварийному завершению программ, повреждению данных или удаленному выполнению кода.
Компания предупредила:
Apple известно о сообщении, согласно которому эта уязвимость могла использоваться в чрезвычайно сложной атаке против конкретных лиц на версиях iOS, предшествующих iOS 27.
Обработка специально созданного вредоносного файла может привести к выполнению произвольного кода. Уязвимость записи за пределами буфера устранена за счет улучшенной проверки границ.
Какие устройства получили исправление
Обновления безопасности, выпущенные на этой неделе, устраняют уязвимость также на следующих устройствах:
- iPhone XS;
- iPhone XS Max;
- iPhone XR;
- iPad 7-го поколения.
Хотя, по данным Apple, CVE-2026-86950 используется только в узконаправленных атаках, пользователям настоятельно рекомендуется установить эти исправления, чтобы защититься от возможных атак.
Другие уязвимости, устраненные Apple в этом году
С учетом этой уязвимости Apple в этом году устранила две уязвимости нулевого дня, которые использовались в атаках. Другая – CVE-2026-20700 – позволяла выполнять произвольный код в dyld, редакторе динамических связей, который используется в системах Apple. Ее также эксплуатировали в «чрезвычайно сложных» целевых атаках. Компания устранила ее в феврале.
Ранее в этом году Apple также исправила уязвимость высокой степени опасности в Beats Studio Buds (CVE-2025-20701), которая позволяла злоумышленникам в радиусе действия Bluetooth подслушивать разговоры пользователей. Кроме того, компания выпустила обновления для старых iPhone и iPad, устраняющие четыре уязвимости, которые использовались в атаках с набором эксплойтов Coruna для кибершпионажа и кражи криптовалюты.
