Apple предостави за по-стари модели iPhone и iPad корекции за сигурност, пуснати миналия месец, като по този начин отстранява уязвимост от тип нулев ден, експлоатирана в „изключително сложни“ целенасочени атаки срещу iOS устройства.

Apple коригира същата уязвимост през септември за устройства с iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.

Meta Product Security откри тази слабост при запис извън границите на буфера (заведена като CVE-2026-86950) в CoreGraphics – рамка за двуизмерна векторна графика, изчертаване на текст и рендиране на изображения в iOS, macOS, iPadOS, watchOS и tvOS.

Успешната експлоатация на проблеми със сигурността, свързани със запис извън допустимите граници, може да позволи на нападатели да предизвикат срив на програми, да повредят данни или да постигнат отдалечено изпълнение на код чрез записване на данни извън заделения буфер на паметта.

„Apple е информирана за доклад, според който този проблем може да е бил експлоатиран при изключително сложна атака срещу конкретни таргетирани лица във версии на iOS преди iOS 27“, предупреди Apple в понеделник.

„Обработката на злонамерено създаден файл може да доведе до изпълнение на произволен код. Проблемът със запис извън границите беше отстранен чрез подобрена проверка на границите.“

С корекциите за сигурност от тази седмица Apple вече е отстранила уязвимостта и при iPhone XS, iPhone XS Max, iPhone XR, iPad 7-мо поколение, iPad Air 4-то поколение и по-нови, iPad 9-то поколение и по-нови, както и iPad mini 6-то поколение и по-нови.

Въпреки че Apple заяви, че CVE-2026-86950 се експлоатира само при тясно насочени атаки, силно се препоръчва да инсталирате тези адаптирани корекции, за да блокирате потенциални атаки.

С тази уязвимост Apple коригира два нулеви дни, експлоатирани при атаки през тази година. Другата слабост (CVE-2026-20700) – уязвимост за изпълнение на произволен код в dyld (динамичния линкер, използван от операционните системи на Apple), също експлоатирана в „изключително сложни“ целенасочени атаки – беше отстранена през февруари.

По-рано тази година Apple коригира и сериозен дефект в Beats Studio Buds (CVE-2025-20701), който позволява на нападатели в обхвата на Bluetooth да подслушват разговорите на потребителите, и инсталира корекции за по-стари модели iPhone и iPad срещу четири уязвимости, използвани в кибершпионаж и атаки за кражба на криптовалута чрез комплекта за експлойти Coruna.

След като нападателите разполагат с валидни идентификационни данни, само 37% от действията им биват блокирани

Общите резултати за превенция могат да прикрият какво се случва след първоначалния достъп. Щом нападателите започнат да използват валидни идентификационни данни, ефективността на превенцията рязко спада.

Докладът Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални клиентски производствени среди.