Apple пусна iOS 26.7.1 и iPadOS 26.7.1, за да коригира критична уязвимост от тип нулев ден, за която съобщава, че може да е била използвана в изключително сложна атака срещу конкретни цели.

Проблемът със сигурността, проследяван като CVE-2026-86950, засяга рамката CoreGraphics — основен компонент на Apple, отговорен за визуализирането на графика, изображения и документи в устройствата iPhone и iPad.

Успешното експлоатиране би могло да позволи на атакуващите да изпълнят произволен код на засегнатото устройство, като убедят жертвата да обработи злонамерено създаден файл.

Apple пусна актуализациите на 28 септември 2026 г. и призова потребителите да ги инсталират възможно най-скоро. Уязвимостта засяга iPhone 11 и по-нови модели, както и редица поддържани устройства iPad Pro, iPad Air, iPad и iPad mini.

Zero-day уязвимостта на Apple е използвана в атаки

От Apple потвърдиха, че CVE-2026-86950 може да е била използвана срещу конкретни лица, работещи с версии на iOS преди iOS 27, което показва силно целева атака, а не широкоразпространена кампания.

Подобни атаки обикновено се свързват с операции с шпионски софтуер, събиране на разузнавателна информация, дейности по наблюдение или атаки срещу високопоставени потребители като журналисти, активисти, ръководни кадри, държавни служители и изследователи в областта на сигурността.

Apple не разкрива технически подробности за атакуващите, таргетираните жертви, злонамерените файлове, използвани в атаката, или дали уязвимостта е била комбинирана с други zero-day проблеми. Компанията обикновено ограничава разкриването на информация, докато потребителите инсталират корекции за сигурност и докато продължават разследванията.

Уязвимостта съществува в CoreGraphics и произтича от запис извън границите на паметта (out-of-bounds write). Този клас дефект в безопасността на паметта възниква, когато софтуерът записва данни извън разпределените граници на паметта.

Атакуващ би могъл да създаде специално проектиран файл, който задейства уязвимия код, когато устройството го отвори, прегледа, изтегли или обработи по друг начин. При успешно експлоатиране, киберпрестъпникът би могъл да получи привилегии за изпълнение на произволен код в рамките на засегнатия процес.

Изпълнението на произволен код е сериозен проблем за сигурността, тъй като може да позволи на атакуващите да стартират неоторизирани команди, да инсталират злонамерен код, да получат достъп до чувствителна информация или да се закрепят в системата за последващо компрометиране. Крайното въздействие зависи от приложението, обработващо файла, и от допълнителните уязвимости, с които разполага атакуващият.

Apple отстранява уязвимостта чрез въвеждане на подобрена проверка на границите, което помага да се предотврати записването на данни извън валидните локации в паметта от засегнатия софтуерен компонент.

Актуализацията е налична за iPhone 11 и по-нови модели iPhone. Засегнатите системи iPad включват iPad Pro 12.9-инча (3-то поколение и по-нови), iPad Pro 11-инча (1-во поколение и по-нови), iPad Air (3-то поколение и по-нови), iPad (8-мо поколение и по-нови) и iPad mini (5-то поколение и по-нови).

Потребителите трябва да актуализират устройствата си през Settings > General > Software Update. Организациите, които управляват устройства на Apple, трябва да потвърдят инсталирането на корекциите за сигурност чрез своите платформи за управление на мобилни устройства (MDM) и да идентифицират устройствата, които остават с по-стари версии на iOS или iPadOS.

CVE-2026-86950 е докладвана от Meta Product Security. Признанието на Apple подчертава постоянния риск от zero-day уязвимости в компоненти за обработка на файлове, особено когато се използват при целеви атаки срещу подбрани жертви.