Кібербезпека

Apple закрила zero‑day у CoreGraphics на старіших iPhone та iPad

Apple розповсюдила backport‑оновлення безпеки для старіших iPhone та iPad, щоб закрити zero‑day у CoreGraphics, який застосовували у «надзвичайно витончених» атаках.

2 хвилини читання
Apple закрила zero‑day у CoreGraphics на старіших iPhone та iPad
Фото: BleepingComputer

Apple випустила оновлення безпеки для старіших моделей iPhone та iPad, якими закрила zero‑day у CoreGraphics, що використовувався у цільових атаках на iOS.

Що сталося

Йдеться про вразливість CVE-2026-86950 — помилку типу out-of-bounds write у фреймворку CoreGraphics, який відповідає за 2D‑графіку, текст і рендеринг зображень у iOS, macOS, iPadOS, watchOS та tvOS. За даними компанії, обробка спеціально підготованого файлу могла призвести до виконання довільного коду; проблему усунули поліпшеними перевірками меж.

У вересні Apple вже закривала ту саму вразливість для пристроїв на iOS 26.7.1 та iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Тепер виправлення поширили на ширше коло пристроїв.

Які пристрої отримали оновлення

Backport‑патч доступний для таких моделей:

  • iPhone XS, iPhone XS Max, iPhone XR;
  • iPad 7‑го покоління;
  • iPad Air починаючи з 4‑го покоління;
  • iPad починаючи з 9‑го покоління;
  • iPad mini починаючи з 6‑го покоління.

Apple зазначає, що CVE-2026-86950 експлуатували лише у дуже прицільних атаках проти окремих людей на версіях iOS до iOS 27. Попри це, компанія наполегливо рекомендує встановити оновлення всім користувачам відповідних пристроїв.

Контекст

Вразливість виявила команда Meta Product Security. Успішна експлуатація помилок out-of-bounds write може спричинити падіння застосунків, пошкодження даних або віддалене виконання коду.

З урахуванням цього патча Apple цього року вже закрила дві zero‑day, що активно використовувалися у атаках. Інша — CVE-2026-20700 у dyld — була виправлена у лютому, також після «надзвичайно витончених» цільових атак.

Раніше цього року компанія також усунула серйозну вразливість у Beats Studio Buds (CVE-2025-20701), яка дозволяла зловмисникам у радіусі Bluetooth підслуховувати розмови, та закрила на старіших iPhone і iPad чотири діри, що застосовувалися у кібершпигунстві та крадіжці криптовалют за допомогою набору експлойтів Coruna.

Джерела

Читайте також