Apple пусна iOS 27.2 с отстранени 163 уязвимости, включително корекция за критично отдалечено изпълнение на код в WebKit

Apple пусна iOS 27.2 и iPadOS 27.2 на 26 октомври 2026 г. с отстранени 163 уязвимости в сигурността. Обновяването обхваща iPhone 11 и по-нови модели, както и широк набор от модели iPad. Най-сериозните проблеми се намират в WebKit – енджина зад Safari и повечето браузъри в приложения на устройствата на Apple. Apple заявява, че злонамерено уеб съдържание би могло да изпълни код на устройството. Това представлява риск от отдалечено изпълнение на код (RCE) и е причината това обновяване да не се отлага.

Apple публикува пълния списък в своя документ за съдържанието за сигурност за iOS 27.2 и iPadOS 27.2. Компанията не съобщава за активно използване на тези уязвимости в реални атаки.

Това не прави инсталирането на корекцията за сигурност незадължително. След като подробностите станат публични, телефоните и таблетите без инсталирани корекции за сигурност стават по-лесни мишени. Според докладите нито една от уязвимостите не е посочена като експлоатирана, но потребителите все пак са призовани да инсталират софтуера скоро.

WebKit RCE уязвимости

WebKit представлява най-голямата група от корекции в тази версия. Apple отдава признание за над 30 проблема в WebKit, като няколко от тях могат да доведат до изпълнение на код, ако потребител отвори специално създадена страница. Сериозните случаи включват use-after-free уязвимости и грешка от тип type confusion.

С прости думи, браузърът може неправилно да управлява паметта след затваряне на страница или да обърка един тип данни с друг. Атакуващият след това може да използва тази грешка, за да изпълни собствен код в рамките на процеса на браузъра.

Корекциите, свързани с изпълнение на код, включват CVE-2026-112697, CVE-2026-112655, CVE-2026-112651 и CVE-2026-112623 – всички свързани с use-after-free дефекти. CVE-2026-112659 представлява проблем от тип type confusion. CVE-2026-112637, CVE-2026-112626 и CVE-2026-112639 са допълнителни use-after-free грешки в WebKit, WebKit Canvas, свързванията на WebKit с JavaScript и модела на процесите на WebKit.

Apple ги отстрани чрез подобрено управление на паметта. Признание за откриването им получават изследователят по сигурността от OpenAI Codex Ейми Бърнет, Крис Ролф от Anthropic Research, Юнте Джанг, Люк Франсис и други.

Два свързани проблема с изолираната среда допълнително повишават риска. CVE-2026-113897 може да позволи на отдалечен атакуващ да излезе от изолираната среда на Web Content. Apple премахна уязвимия код. CVE-2026-112690, докладвана от Клаудио Бодзато и Франческо Бенвенуто от Cisco Talos, е посочена под App Store и също може да позволи на отдалечен атакуващ да напусне изолираната среда на WebContent. Излизането от изолирана среда е съществено, тъй като кодът, който стартира в браузъра, след това може да получи достъп до по-голяма част от устройството.

WebKit уязвимостите имат дълга история на използване в реалния свят. По-рано тази година Cyber Security News съобщи, че Apple е коригирала уязвимост с висока степен на опасност в WebKit, която е можела да заобиколи Same Origin Policy. По-стари WebKit уязвимости също са били използвани в целенасочени кампании с шпионски софтуер. В това издание няма такова предупреждение, но тази закономерност е причината отстраняването на уязвимости в браузъра на iPhone да се третира като спешно.

Уязвимости в ядрото, поверителността и файловете

Корекциите в ядрото са следващият повод за безпокойство. Около 15 уязвимости в ядрото са отстранени. Няколко могат да доведат до срив на системата или да повредят паметта на ядрото. Някои представляват use-after-free дефекти, включително CVE-2026-65350, CVE-2026-112679, CVE-2026-112517 и CVE-2026-112514. Други могат да пишат в паметта на ядрото или да разкрият структурата на паметта на ядрото, което помага на атакуващия да планира по-дълбок пробив.

Уязвимостите в ядрото обикновено изискват злонамерено приложение или предварително установен достъп, така че са по-малко директни от уеб уязвимостите. Въпреки това те имат значение във верига от атаки, където WebKit уязвимост е първата стъпка, а уязвимост в ядрото – втората.

Проблемите с поверителността са разпределени в ежедневни приложения. Грешка в Apple Intelligence, CVE-2026-86987, може да позволи на отдалечен атакуващ да получи достъп до чувствителни потребителски данни на iPhone 15 Pro и по-нови модели, както и на поддържани модели iPad. Тя беше докладвана от Ричард Хюнхо Им от Route Zero Security.

Логическа грешка в Hide My Email, CVE-2026-112500, може да разкрие реалния имейл адрес на потребителя. Други корекции обхващат Contacts, Calendar, CloudKit, Files, Photos, Siri, Shortcuts и Screen Time. Грешка в Maps, CVE-2026-112707, би могла да позволи на приложение да види кои други приложения са инсталирани. Грешка в CoreMedia, CVE-2026-86990, би могла да позволи на злонамерено приложение да използва камерата без разрешение.

Уязвимостите при парсване на файлове са друга голяма група. ImageIO, CoreGraphics, CoreAudio, FontParser и Model I/O получиха корекции за сигурност за специално създадени изображения, PDF файлове, шрифтове, аудио и 3D модели. Много от тях водят единствено до срив на приложение или изтичане на памет от процеса. Няколко могат да повредят паметта, което е стъпка към изпълнение на код, ако атакуващ успее да контролира какво отваря устройството. Дефект в CoreMedia, CVE-2026-112688, може да доведе до изпълнение на код при парсване на файл.

Корекции срещу jailbreak и кой трябва да актуализира

Шест записа отдават признание на Calif – екипа, който отключи (jailbreak) iPhone Duo в деня на премиерата и демонстрира untethered jailbreak на iOS 27.0.1. Изследователят от Calif Щефан Есер заяви, че повечето от дефектите, използвани за този jailbreak, са отстранени в iOS 27.2.

Това е добра новина за сигурността на устройствата и спънка за хората, които искат jailbreak. Също така показва защо изчакването при голяма корекция за сигурност от Apple е лоша идея. Публичните изследвания често следват демонстрация на jailbreak.

Apple пусна също iOS 26.7.2 и iPadOS 26.7.2 в същия ден за устройства, които не са преминали към iOS 27. Тези версии съдържат много от същите корекции. Потребителите, които все още използват iOS 26, трябва да инсталират 26.7.2, вместо да пропускат обновяването само защото не са на най-новата основна версия.

Поддържаният хардуер за iOS 27.2 започва от iPhone 11, iPad Pro 12,9-инчов (4-то поколение), iPad Pro 11-инчов (2-ро поколение), iPad Air (4-то поколение), iPad (9-то поколение) и iPad mini (6-то поколение).

За да инсталирате обновяването, отворете Settings, натиснете General, след това Software Update и следвайте указанията на екрана. Създаването на резервно копие преди голяма подверсия остава препоръчително. Организациите трябва да третират тази корекция за сигурност като приоритетна заради уязвимостите за изпълнение на код в WebKit, бягствата от изолирана среда и обема на проблемите в ядрото. Практиката на Apple при големи мултиплатформени обновления за сигурност показва същия модел. Уязвимостите в браузъра и ядрото пристигат заедно, а отложеното инсталиране оставя най-широкия прозорец за злоупотреби.

Apple не е посочила публични оценки за критичност в бюлетина за сигурност и не е заявила, че някоя от тези уязвимости се експлоатира активно. Практическият извод обаче остава ясен. Специално създаден уебсайт е достатъчен, за да бъдат засегнати най-сериозните уязвимости в WebKit, а корекциите вече се разпространяват. Обновете устройствата iPhone и iPad до iOS 27.2 или iPadOS 27.2, или до iOS 26.7.2, ако устройството все още е с по-старата версия на операционната система.