Apple a extins la mai multe modele mai vechi de iPhone și iPad remedierea unei vulnerabilități zero-day din CoreGraphics, după ce aceasta a fost exploatată în atacuri descrise de companie drept „extrem de sofisticate” și direcționate. Problema, identificată ca CVE-2026-86950, poate permite executarea de cod arbitrar atunci când dispozitivul procesează un fișier construit cu intenție malițioasă.
O eroare de memorie într-o componentă folosită pentru grafică și text
Meta Product Security a raportat vulnerabilitatea, o scriere în afara limitelor memoriei alocate, în CoreGraphics. Cadrul software este folosit pentru desenarea graficii vectoriale bidimensionale, redarea textului și procesarea imaginilor în iOS, macOS, iPadOS, watchOS și tvOS, ceea ce îi conferă o prezență largă în ecosistemul Apple.
O astfel de eroare poate duce la blocarea aplicațiilor sau la coruperea datelor; în anumite condiții, atacatorul poate ajunge la execuție de cod de la distanță. Apple spune că problema a fost remediată prin verificări mai stricte ale limitelor: „Procesarea unui fișier creat cu intenție malițioasă poate duce la executarea arbitrară de cod”.
Patch-ul ajunge acum și la dispozitive lansate cu ani în urmă
Apple a corectat vulnerabilitatea în septembrie pentru dispozitivele care rulau iOS 26.7.1 și iPadOS 26.7.1, precum și macOS Tahoe 26.7.1 și macOS Sequoia 15.8.1. În această săptămână, compania a extins protecția la iPhone XS, iPhone XS Max și iPhone XR, dar și la iPad-urile din generațiile indicate în actualizarea de securitate.
Lista include iPad generația a 7-a, iPad Air generația a 4-a și modelele ulterioare, iPad generația a 9-a și modelele ulterioare, precum și iPad mini generația a 6-a și modelele ulterioare. Apple a avertizat luni că există informații potrivit cărora vulnerabilitatea ar fi fost folosită împotriva unor persoane vizate, pe versiuni de iOS anterioare iOS 27.
Ce înseamnă avertismentul pentru utilizatorii din România și UE
Apple precizează că exploatarea cunoscută a fost limitată la atacuri foarte direcționate, nu la o campanie largă. Totuși, faptul că vectorul poate fi un fișier malițios face prudentă instalarea fără întârziere a actualizărilor pe dispozitivele compatibile, mai ales în organizațiile care folosesc iPhone-uri sau iPad-uri pentru comunicații și acces la servicii de lucru.
Pentru companiile și instituțiile din România și UE, echipele IT ar trebui să verifice inventarul de dispozitive, să confirme instalarea patch-urilor și să aplice politicile de actualizare gestionată. Utilizatorii ar trebui să instaleze actualizările disponibile prin mecanismul oficial al Apple și să trateze cu atenție fișierele neașteptate; sursa nu oferă indicatori de compromitere sau detalii care să permită identificarea victimelor.
CVE-2026-86950 este al doilea zero-day exploatat în atacuri pe care Apple spune că l-a remediat în acest an. În februarie, compania a corectat CVE-2026-20700, o vulnerabilitate de execuție arbitrară de cod în dyld, încărcătorul dinamic folosit de sistemele Apple, de asemenea asociată cu atacuri țintite descrise ca extrem de sofisticate.
La începutul anului, Apple a mai remediat o problemă de severitate ridicată în Beats Studio Buds, CVE-2025-20701, care ar fi putut permite spionarea conversațiilor utilizatorilor aflați în raza Bluetooth. Totodată, compania a actualizat iPhone-uri și iPad-uri mai vechi împotriva a patru vulnerabilități folosite în atacuri de cyberespionaj și furt de criptomonede prin kitul de exploatare Coruna.
