Apple пусна една от най-големите си координирани актуализации за сигурност, справяйки се с 273 различни критични уязвимости в iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro, Safari и Xcode.

Корекциите за сигурност пристигнаха на 14 септември 2026 г. чрез iOS 27, iPadOS 27, macOS Golden Gate 27, watchOS 27, tvOS 27, visionOS 27, Safari 27 и Xcode 27, съвместно с iOS и iPadOS 26.7, macOS Tahoe 26.7 и macOS Sequoia 15.8.

Цифрата 273 представлява уникални CVE идентификатори в десетте бюлетина за сигурност на Apple, а не сумата от всички проблеми, изброени за всяка операционна система. Много недостатъци засягат споделени рамки (frameworks) и следователно се появяват в няколко версии.

Apple отстранява 273 уязвимости

Отделните бюлетини на Apple съдържат 1 038 CVE списъка на ниво продукт след дедупликация на страница, но тези препратки се свиват до 273 уникални уязвимости, когато се премахнат препокриванията. macOS Golden Gate 27 носи най-широкото покритие с 210 CVE, следван от macOS Sequoia 15.8 със 154 и macOS Tahoe 26.7 със 153.

Сред най-сериозните корекции е CVE-2026-65414 – запис извън границите (out-of-bounds write) в Bluetooth, който би могъл да позволи на отдалечен атакуващ да срине приложение или да изпълни произволен код.

CVE-2026-84607, състояние на състезание (race condition) в AVEVideoEncoder, би могло да позволи на приложение в изолирана среда да изпълни произволен код с права на ядрото. Apple коригира тези слабости съответно чрез по-строга проверка на границите и подобрено управление на състоянието при множество серии устройства.

Обработката на медийни файлове също представлява значителна повърхност за атака. CVE-2026-64752 в CoreMedia би могло да даде възможност за изпълнение на произволен злонамерен код, когато устройство обработва специално създадено изображение, докато CVE-2026-65395 в ImageIO би могло да повреди паметта чрез запис извън границите.

FontParser, CoreText, CoreUI, SceneKit, RealityKit, Model I/O и модулите за обработка на дискови изображения получиха допълнителни корекции за препълване на буфера, грешки при цели числа, разкриване на памет, сривове и други небезопасни условия за разбор (parsing). В macOS обновяването затваря няколко пътя за ескалация на привилегии и заобикаляне на контрола за сигурност.

Според бюлетина за сигурност, публикуван от Apple, CVE-2026-84568 в autofs би могло да позволи на атакуващ, контролиращ мрежов директориен сървър, да изпълни код като root, докато CVE-2026-43692 в CUPS би могло да позволи на отдалечен потребител да предизвика срив или изпълнение на произволен код.

Други корекции за сигурност укрепват Gatekeeper, прилагането на изолирана среда, карантината на файлове, контрола на поверителността TCC, SMB, WebDAV, APFS, HFS, exFAT и обработката на дискови изображения.

Apple също така коригира CVE-2026-65400 в macOS Screen Sharing Server – грешка в автентификацията, която би могла да позволи на мрежов атакуващ да получи достъп до споделянето на екрана без валидни идентификационни данни.

Корекциите, свързани с поверителността, предотвратяват четенето на постоянни идентификатори от приложения, идентифицирането на инсталирани приложения, достъпа до чувствителни файлове, модифицирането на защитени системни локации, заобикалянето на предпочитанията за поверителност или научаването на местоположението на потребителя. Keychain, Sign in with Apple, CloudKit, NetworkExtension, Spotlight, Photos, Siri и Shortcuts са сред засегнатите компоненти.

Излагането на рискове през уеб получи съществено внимание. Apple отстрани грешки в WebKit за повреждане на паметта, use-after-free, разкриване на информация, междинни скриптове (cross-site scripting) и сривове във всички свои платформи.

Само Safari 27 решава шест CVE, включително CVE-2026-86898, което би могло да даде възможност за универсален cross-site scripting чрез зловреден webarchive, и CVE-2026-64753, което би могло да разкрие чувствителна информация по време на обработка на уеб съдържание. Xcode 27 отделно отстранява CVE-2026-65393 – проблем с разрешенията, който би могъл да изложи на риск поверителни потребителски данни.

Мащабът на това издание илюстрира значението на унифицираната софтуерна архитектура на Apple: уязвимост в една обща рамка може едновременно да засегне телефони, таблети, компютри, часовници, телевизори и устройства за пространствено изчисление. Това също обяснява защо администраторите трябва да оценят целия автопарк от устройства, вместо да инсталират корекции само на iPhone или Mac.

Бюлетините на Apple за това издание не посочват 273-те уязвимости да са били експлоатирани активно в реална среда, но подробната информация за CVE може да ускори анализа от страна на киберпрестъпниците и разработването на експлойти.

Потребителите трябва да инсталират най-новата съвместима версия чрез Software Update възможно най-скоро. Предприятията трябва да дадат приоритет на Mac компютрите, свързани с интернет, системите, които обработват ненадеждни медии или архиви, устройствата с активиран Bluetooth, споделените работни станции, компютрите на разработчиците и крайните точки, имащи право да се свързват с външни файлови сървъри.

Екипите по сигурност трябва да потвърдят съответствието на актуализациите чрез управление на мобилни устройства (MDM), да тестват критичните приложения и да следят за необичайни сривове, ескалация на привилегии, неоторизирани промени в поверителността и съмнителна активност в мрежовите услуги.

Бързото внедряване е най-ясният начин да се намали излагането на тази необичайно голяма колекция от недостатъци в сигурността на Apple. Поради това координираното пускане заслужава незабавно внимание от страна на потребителите, разработчиците и корпоративните екипи за сигурност по целия свят.