Apple пусна iOS 18.7.11 и iPadOS 18.7.11, за да коригира уязвимост от тип нулев ден в CoreGraphics, която атакуващите може да са използвали при таргетирани атаки.
Пуснати на 26 октомври 2026 г., актуализациите предоставят корекции за сигурност за по-стари устройства, включително iPhone XS, iPhone XS Max, iPhone XR и седмо поколение iPad, според страницата с бюлетини за сигурност на Apple.
Проследяван като CVE-2026-86950, дефектът в CoreGraphics може да позволи на атакуващи да изпълняват код, когато устройството обработва специално създаден файл. Apple изразява благодарност на Meta Product Security за докладването на проблема.
Компанията заявява, че е запозната с доклад, според който уязвимостта „може да е била експлоатирана в изключително сложна атака срещу конкретни таргетирани лица“, използващи версии на iOS преди iOS 27.
Уязвимостта представлява запис извън границите на буфера (out-of-bounds write) в CoreGraphics – компонент на Apple, който обработва графики и документи. Тази грешка възниква, когато софтуерът записва данни извън заделеното за него пространство в паметта.
Корекция от Apple за zero-day дефекта в CoreGraphics
Специално манипулиран файл може да предизвика тази грешка и потенциално да позволи на атакуващ да изпълни код в рамките на засегнатия процес. Apple отстрани проблема чрез въвеждане на по-строги проверки на границите.
Последната актуализация разширява защитата и към по-стар хардуер. Cybersecurity News по-рано отрази корекцията за сигурност на zero-day уязвимостта в CoreGraphics на Apple за по-новите модели iPhone, съобщавайки, че iOS 26.7.1 и iPadOS 26.7.1 са адресирали същия CVE през септември. Собствениците на по-стари модели вече разполагат с налична актуализация за сигурност в клона iOS 18.
Предупреждението на Apple насочва към таргетирана експлоатация, но предоставеният бюлетин не посочва конкретните атакуващи, не идентифицира жертвите и не обяснява как злонамереният файл е достигнал до техните устройства.
Освен това не се уточнява дали експлоатацията изисква взаимодействие от страна на потребителя. Поради това наличната информация не доказва атака без кликване (zero-click) или по-широка кампания срещу обикновени потребители.
Актуализацията също така отстранява CVE-2026-65339 в компонента Audio. Apple посочва, че дадено приложение би могло да използва този логически дефект, за да доведе до изтичане на чувствителна потребителска информация. Компанията е добавила подобрени проверки и изказва благодарност на Мустафа Калап (@ordinal0 от dbg. re) и Ник Цицаркин от Meta Red Team X.
Трети проблем, CVE-2026-86990, засяга CoreMedia и би могъл да позволи на злонамерено приложение да получи достъп до камерата без разрешение от потребителя. Apple затегна ограниченията за достъп, за да отстрани проблема, и благодари на Мустафа Калап. За разлика от случая с CoreGraphics, нито един от тези два записа не съдържа предупреждение за активна експлоатация в предоставения бюлетин.
В миналото Apple вече е коригирала активно експлоатирани уязвимости в по-стари устройства, включително с актуализацията iOS 12.5.7 за експлоатиран дефект в WebKit. Тези версии показват защо потребителите трябва да продължат да проверяват за корекции за сигурност дори когато техните устройства вече не получават основни надграждания на iOS.
Потребителите могат да проверят за корекцията в Settings > General > Software Update. Apple препоръчва създаване на резервно копие на устройството, включване към захранване и използване на Wi-Fi преди инсталирането.
Следвайте инструкциите за обновяване на Apple и потвърдете инсталираната версия след това. За засегнатите устройства инсталирането на тази актуализация отстранява оповестените дефекти. Въпреки това самото инсталиране на корекции за сигурност не показва дали дадено устройство е било компрометирано преди това.