Apple nu a lansat iOS 26.7.1 doar pentru încă o rundă de bugfix-uri. În spatele actualizării se află CVE-2026-86950, o vulnerabilitate CoreGraphics despre care Apple spune în documentația oficială de securitate că ar fi fost deja exploatată într-un „atac extrem de sofisticat” împotriva unor persoane țintite.
Problema este serioasă prin ceea ce permite: procesarea unui fișier special construit poate duce la execuție arbitrară de cod pe dispozitiv. Cu alte cuvinte, atacatorul poate ajunge să ruleze propriul cod pe iPhone sau iPad după exploatarea breșei. Apple a remediat problema prin verificări mai stricte ale limitelor de memorie.
Vulnerabilitatea este de tip out-of-bounds write și afectează CoreGraphics, una dintre componentele de bază folosite de sistemele Apple pentru procesarea și afișarea elementelor grafice. Descoperirea a fost raportată companiei de Meta Product Security.
Nu știm însă cine a fost atacat, câte persoane au fost vizate sau cum ajungea fișierul malițios pe dispozitiv. Apple nu spune nici că ar fi fost implicat spyware și, important, nu confirmă că CVE-2026-86950 este un exploit zero-click.
Asta contează. Am văzut deja cazuri în care vulnerabilități Apple au fost legate ulterior de instrumente comerciale de spionaj. În 2025 scriam despre jurnaliști europeni compromiși printr-o breșă Apple și spyware-ul Graphite, iar în 2023 despre un exploit folosit pentru instalarea Pegasus pe iPhone. De această dată nu avem, cel puțin deocamdată, o asemenea confirmare.
Dacă ai rămas pe iOS 26, actualizarea nu prea merită amânată
Apple a distribuit patch-ul pe 28 septembrie, iar versiunile care conțin remedierea sunt:
| Platformă | Versiunea cu patch |
|---|---|
| iPhone | iOS 26.7.1 |
| iPad | iPadOS 26.7.1 |
| Mac cu macOS Tahoe | macOS Tahoe 26.7.1 |
| Mac cu macOS Sequoia | macOS Sequoia 15.8.1 |
Pentru iPhone, iOS 26.7.1 este disponibil începând cu iPhone 11, iar patch-ul ajunge și pe generațiile compatibile de iPad Pro, iPad Air, iPad și iPad mini. Vulnerabilitatea a fost remediată separat și în macOS Tahoe 26.7.1 și macOS Sequoia 15.8.1.
Apple precizează un detaliu important: atacurile observate au vizat versiuni de iOS anterioare lui iOS 27. Pentru dispozitivele compatibile, compania listează în prezent iOS 27.0.1 drept cea mai nouă versiune disponibilă.
Dacă ai ales să rămâi momentan pe ramura iOS 26, 26.7.1 este update-ul pe care trebuie să îl ai instalat.
Nu este nici primul pachet serios de securitate Apple din acest an. În mai, iOS 26.5 rezolva peste 50 de probleme de securitate, ceea ce arată cât de puțin spun uneori dimensiunea sau descrierea unui update despre importanța lui reală.
De ce sunt asemenea breșe atât de valoroase?
Un atacator nu are nevoie neapărat de o aplicație dubioasă instalată de victimă dacă găsește o vulnerabilitate într-o componentă care procesează conținut primit din exterior.
În cazul de față, Apple vorbește despre un fișier malițios și despre execuție de cod. Nu explică însă dacă victima trebuie să îl deschidă ori ce aplicație sau serviciu a fost folosit pentru livrare. A transforma de aici povestea într-un „primești o imagine și ți-au spart instant telefonul” ar merge mai departe decât informațiile publicate de Apple.
Tocmai lipsa detaliilor este tipică incidentelor de acest nivel. Companiile evită deseori să explice întregul lanț de atac imediat după apariția patch-ului, pentru a nu oferi o rețetă dispozitivelor care au rămas neactualizate.
Pentru utilizatorii care au motive reale să creadă că pot deveni ținte ale unor atacuri sofisticate - jurnaliști, activiști, oficiali sau persoane cu acces la informații sensibile - Apple are și Lockdown Mode, funcție despre care am scris încă de la introducerea sa pe iPhone, iPad și Mac.
Pentru restul utilizatorilor nu există indicii că CVE-2026-86950 este folosit într-o campanie în masă. Dar tocmai fiindcă vulnerabilitatea a fost exploatată înainte ca patch-ul să existe, nu prea există un motiv bun să rămâi pe o versiune vulnerabilă după ce Apple a publicat remedierea.
