Apple устранила уязвимость нулевого дня в CoreGraphics, предупредив, что злоумышленники могли использовать эту ошибку для компрометации небольшого числа тщательно отобранных целей.
Уязвимость, отслеживаемая как CVE-2026-86950, представляет собой ошибку записи за пределами выделенной области памяти (out-of-bounds write) в CoreGraphics — фреймворке Apple для обработки графики во всех её операционных системах.
Согласно уведомлению Apple, обработка специально созданного файла могла позволить злоумышленнику выполнить произвольный код на уязвимом устройстве. Компания заявила, что устранила проблему путём улучшения проверки границ, хотя ошибка, по-видимому, была обнаружена до того, как Apple успела её исправить.
«Apple осведомлена о сообщении, что эта проблема могла быть использована в чрезвычайно изощрённой атаке против конкретных лиц на версиях iOS до iOS 27», — говорится в заявлении компании.
Как это обычно бывает, когда компания из Купертино сталкивается с ошибкой безопасности, которая, по-видимому, оказалась кому-то полезной, подробности скудны. Apple не уточнила, кто был целью, сколько человек пострадало, кто стоял за атаками или как именно использовалась уязвимость.
Однако выбор слов предполагает, что это не была ошибка, эксплуатируемая бесконтрольно в интернете, и допускает возможность её использования в рамках целевой кампании по распространению шпионского ПО.
*Meta Product Security сообщила Apple об уязвимости CVE-2026-86950, но ни в уведомлении Apple, ни в сообщении *Meta не было предоставлено дополнительных технических деталей о том, как была обнаружена уязвимость или в каких атаках она предположительно использовалась.
Исправление было выпущено в понедельник в версиях iOS 26.7.1 и iPadOS 26.7.1. Apple указывает, что обновлённые устройства включают iPhone 11 и новее, iPad Pro 12,9 дюйма (3-го поколения и новее), iPad Pro 11 дюйма (1-го поколения и новее), iPad Air (3-го поколения и новее), iPad (8-го поколения и новее) и iPad mini (5-го поколения и новее).
Apple конкретно указывает, что атаки затронули устройства, работающие под управлением версий iOS до iOS 27, хотя точные старые версии, подвергшиеся атаке, не называются.
Эта уязвимость пополняет растущую коллекцию ошибок безопасности Apple, обнаруженных до выпуска исправлений для пользователей. CVE-2026-86950 стала седьмой уязвимостью нулевого дня, устранённой компанией в этом году.
Всем, кто ещё использует затронутые версии, остаётся стандартный, не слишком вдохновляющий совет по безопасности: установите обновление, вместо того чтобы ждать, пока вы узнаете, как выглядит «чрезвычайно изощрённая атака». ®
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Carly Page
