Уязвимость в iMessage позволяла удаленному злоумышленнику присоединяться к групповым чатам и получать их сообщения, сообщила вчера Apple, выпустив обновления для устранения проблемы. Обновления также исправляют отдельную уязвимость iMessage, которая могла позволить пользователю, добавленном в группу, получить доступ к сообщениям, отправленным до его присоединения.
На сегодняшний день другие обновления, выпущенные вчера для iPhone XS, XS Max и XR, iPad (7-го поколения) и некоторых моделей Apple Watch, не содержат исправлений для этих уязвимостей. В примечаниях компании также не указано, были ли эти уязвимости использованы, что требуется злоумышленнику, увидят ли участники группы того, кто присоединился таким образом, или должны ли все участники обновиться для защиты.
Обновления, устраняющие уязвимости iMessage, также исправляют уязвимость в библиотеке сжатия Brotli от Google. В примечаниях не упоминаются атаки с использованием этой уязвимости. Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло ее в свой каталог известных уязвимостей 27 октября.
Уязвимость, которая могла позволить удаленному злоумышленнику присоединиться к групповому чату, отслеживается как CVE-2026-113961. Это проблема авторизации, которую исправили обновления путем улучшения проверки. Уязвимость, связанная с более ранними сообщениями, — CVE-2026-113960.
Каждая версия операционной системы получила свое обновление. В консультативном документе по безопасности для iOS и iPadOS 27.2.1 описаны все три уязвимости. В списке выпусков безопасности приведены ссылки на примечания к каждому обновлению.
В примечаниях к iOS 18.7.12 и примечаниях к watchOS 26.6.1 перечислены другие исправления безопасности, но не исправления для iMessage или Brotli.
Компания не сообщает, затронуты ли устройства на этих версиях тремя уязвимостями. В ее примечаниях также не предлагается обходное решение для тех, кто не может обновиться немедленно.
Уязвимость Brotli, CVE-2026-111497, представляет собой запись за пределами допустимой области в декодере библиотеки, которая могла привести к повреждению памяти при некорректном вводе. В записи в каталоге CISA для уязвимости декодера Brotli указана Brotli от Google как затронутый продукт и отмечено, что различные продукты могут использовать этот компонент.
Все девять обновлений исправляют уязвимости Bluetooth и AirPlay. Две из них могли позволить вредоносному Bluetooth-устройству или злоумышленнику в радиусе действия Bluetooth подключиться к устройству без участия пользователя. В примечаниях не указано, что могло сделать сопряженное устройство.
Еще две могли позволить злоумышленнику обойти ограничение на количество попыток ввода кода сопряжения, одна — из радиуса действия Bluetooth, другая — из той же сети. Еще одна могла позволить злоумышленнику в радиусе действия Bluetooth повредить память процесса.

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.