Apple 26 жовтня випустила оновлення безпеки для своїх операційних систем. Лише в найновіших версіях iOS і macOS компанія усунула 286 вразливостей. Виправлення для вади, яку зловмисники вже використовували в атаках, Apple перенесла також на iOS 18, тож його отримали й старіші iPhone та iPad.
Що виправлено в iOS та iPadOS 27.2
macOS Golden Gate 27.2 усуває 263 вразливості, а iOS та iPadOS 27.2 виправляють 163. Приблизно 140 із них спільні для обох систем.
В iOS та iPadOS 27.2 виправлено багато помилок пошкодження памʼяті в рушії WebKit, ядрі системи та компонентах, що обробляють зображення, шрифти, PDF-документи, аудіо- та відеофайли. Частину з них можна було використати для виконання довільного коду.
Apple також усунула вади, через які застосунки могли отримати доступ до конфіденційних даних користувача або обійти налаштування приватності. Серед виправлених є й кілька інших помилок. Деякі дозволяли вийти за межі пісочниці WebContent. Ще одна давала змогу зловмиснику видавати себе за центр розподілу ключів (KDC) Kerberos. Окрема вада відкривала атакувальнику, що перебуває поблизу, доступ до мережі Thread, протоколу, на якому працюють пристрої розумного дому.
macOS Golden Gate 27.2: права root і віддалені атаки
macOS Golden Gate 27.2 закриває понад десяток вад підвищення привілеїв, через які застосунки могли отримати права root. Оновлення також усуває способи вийти за межі пісочниці й обійти захисний механізм Gatekeeper. Крім того, воно виправляє помилки пошкодження памʼяті ядра в компонентах файлових систем і образів дисків.
Окрема група виправлень стосується служб Screen Sharing (спільний доступ до екрана), Remote Management (віддалене керування) і протоколу SMB. Ці вади можна атакувати віддалено або з локальної мережі. Зокрема, помилка автентифікації в Remote Management (CVE-2026-112427) дозволяла віддаленому зловмиснику виконати довільний код.
Атакована вразливість: виправлення для iOS 18
iOS та iPadOS 18.7.11 виправляють три вразливості. Найважливіша з них — CVE-2026-86950 у компоненті CoreGraphics. Це помилка запису за межами буфера, яка дозволяла виконати довільний код під час обробки спеціально створеного файлу. За даними Apple, ваду могли використати як вразливість нульового дня в «надзвичайно складній атаці» проти конкретних осіб на версіях iOS, старіших за iOS 27.
Вразливість виявила команда безпеки продуктів Meta. Уперше Apple закрила її наприкінці вересня в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Системи iOS і macOS 27, імовірно, не вразливі.
Публічних подробиць про атаки з використанням CVE-2026-86950 наразі немає.
iOS 18.7.11 призначена для пристроїв, які не підтримують новіші версії системи: iPhone XS, iPhone XS Max, iPhone XR та iPad 7-го покоління.
Інші оновлення
Того ж дня Apple випустила iOS та iPadOS 26.7.2 (134 виправлені вразливості), macOS Tahoe 26.7.2 (213) і macOS Sequoia 15.8.2 (197). Оновлення отримали також tvOS 27.2 (72 вразливості), watchOS 27.2 (62), visionOS 27.2 (125) і браузер Safari 27.2 (33).
Як оновитися
На iPhone та iPad оновлення встановлюється в меню «Параметри» → «Загальні» → «Оновлення ПЗ». На Mac це «Системні параметри» → «Загальні» → «Оновлення ПЗ». Власникам iPhone XS, XS Max і XR варто встановити iOS 18.7.11 якнайшвидше, адже виправлена в ній вразливість уже використовувалася в атаках.
Ця стаття Apple закрила 286 вразливостей в iOS і macOS 27.2 та виправила вже атаковану ваду для старих iPhone на iOS 18 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
