Apple устранила уязвимость в iOS 26, iPadOS 26 и macOS 26, которая, по данным компании, могла использоваться хакерами.
В Apple сообщили, что ошибка могла применяться для «чрезвычайно сложной атаки на конкретных выбранных пользователей» в версиях iOS до iOS 27.
Согласно записи на страницах безопасности Apple, уязвимость нашли в основном графическом движке, который отвечает за интерфейс и визуальные элементы на iPhone, iPad и Mac.
Обнаружение ошибки Apple связала с командой продуктовой безопасности Meta. Уязвимость получила идентификатор CVE-2026-86950.
Технические детали компания не раскрыла. При этом графический движок обычно имеет широкий доступ к системе, поэтому успешная эксплуатация могла дать злоумышленнику доступ к большому объёму личных данных на устройстве.
В комментарии TechCrunch представители Apple и Meta не стали уточнять, как именно нашли уязвимость и сколько пользователей могли пострадать, если такие случаи были. Пока также неясно, кто мог использовать ошибку — разработчики шпионского ПО или киберпреступники.
Хотя проблема затрагивает предыдущее поколение операционных систем Apple, эти версии всё ещё широко используются. По собственной статистике компании, почти 80% владельцев iPhone продолжают работать на iOS 26.
Устройства с iOS 27, iPadOS 27 и macOS 27, выпущенными ранее в этом месяце, также получили обновление во вторник, но Apple заявляет, что эта атака их не затрагивает.
Новость о патче появилась вскоре после исправления другой критической уязвимости — CVE-2026-86869, которая могла позволить злоумышленникам незаметно красть данные с iPhone, iPad и Mac.
На прошлой неделе бельгийская исследовательская компания ironPeak опубликовала подробный разбор и назвала эту ошибку уязвимостью zero-click. Её можно было незаметно активировать через специально подготовленное сообщение iMessage, без действий со стороны пользователя.
Такие уязвимости не требуют, чтобы жертва нажимала на ссылку или открывала вложение. Из-за этого они особенно ценятся у поставщиков систем слежки и шпионского ПО.
По данным ironPeak, ошибка позволяла обходить BlastDoor — механизм защиты Apple, который должен мешать вредоносному коду выходить за пределы изолированной среды iMessage и получать доступ к устройству.
Apple исправила эту уязвимость в сентябре вместе с выходом iOS 27, iPadOS 27 и macOS 27. Компания также поблагодарила за обнаружение Нильса Хофманса из ironPeak, а исследователи Meta подтвердили выводы в публикации в X.
Пока неизвестно, использовалась ли эта ошибка в реальных атаках до выхода исправления.
Источник: TechCrunch, страницы безопасности Apple, ironPeak.
*Организация Meta (владелец Facebook и Instagram) признана экстремистской организацией и ее деятельность запрещена на территории России.
