SecAtor

Apple адаптировала выпущенные в прошлом месяце обновления на более старые модели iPhone и iPad, устранив 0-day, используемую в «чрезвычайно сложных» узкотаргетированных атаках. В сентябре Apple устранила аналогичную уязвимость на устройствах под управлением iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Уязвимость связана с записью за пределы допустимого диапазона (CVE-2026-86950) и затрагивает CoreGraphics - фреймворк, используемом для двухмерной векторной графики, рисования текста и рендеринга изображений на iOS, macOS, iPadOS, watchOS и tvOS. Успешная эксплуатация позволяет злоумышленникам вызывать сбои в работе программ, повреждать данные или получать доступ к удаленному выполнению кода путем записи данных за пределы выделенного буфера памяти. Apple отмечает, что обработка специально созданного файла может привести к выполнению произвольного кода. Проблема записи за пределы допустимого диапазона была решена за счет улучшения проверки границ. Благодаря обновлениям на этой неделе, Apple устранила уязвимость также на iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения, iPad Air 4-го поколения, iPad 9-го поколения и более поздних моделей, а также iPad mini 6-го поколения и более поздних моделей. Apple заявляет, что CVE-2026-86950 используется только в целенаправленных атаках, но вместе с тем настоятельно рекомендует установить эти адаптированные патчи для блокировки потенциальных атак. На текущий момент на счету Apple - все закрытые 0-day, использовавшиеся в атаках в этом году. Предыдущая CVE-2026-20700 (уязвимость произвольного выполнения кода в dyld, динамически подключаемом редакторе, используемом операционными системами Apple) также применялась в «чрезвычайно сложных» атаках. Ее устранили в феврале.