iOS 26.7.1 łata lukę, przez którą jeden spreparowany plik mógł przejąć iPhone’a

Apple udostępniło iOS 26.7.1, by załatać lukę w CoreGraphics — elemencie systemu odpowiedzialnym za wyświetlanie obrazów i otwieranie plików PDF — która pozwalała uruchomić kod atakującego na iPhonie lub iPadzie za pomocą jednego spreparowanego pliku. Firma informuje, że luka mogła być już wykorzystywana przeciwko konkretnym osobom. Jeśli Twój telefon nadal działa na iOS 26, a nie iOS 27, tę aktualizację warto zainstalować od razu.

Ryzyko tkwi w czymś, co telefon robi bez przerwy, nie pytając o zgodę. Zdjęcia, pliki PDF, podglądy w czacie, załączniki w e-mailach — zanim pojawią się na ekranie, wszystkie przechodzą przez CoreGraphics. Luka na tym poziomie oznacza, że ofiara nie musi instalować niczego podejrzanego. Wystarczy otworzyć spreparowany plik, a czasem nawet tylko go wyświetlić, by oddać kontrolę nad urządzeniem.

Apple opisuje błąd jako zapis poza zakresem pamięci — błąd programistyczny, który pozwala danym wyjść poza przydzielony im obszar i nadpisać kod, który atakujący chce zastąpić. Jak podaje Apple, poprawka wprowadza lepszą kontrolę granic pamięci. Firma informuje, że wie o zgłoszeniu, według którego luka mogła zostać wykorzystana w niezwykle wyrafinowanym ataku wymierzonym w konkretne osoby korzystające z wersji iOS starszych niż iOS 27.

Lukę zgłosił Apple zespół ds. bezpieczeństwa produktów Meta, która odpowiada również za WhatsApp, Instagram i Facebook Messenger — trzy aplikacje każdego dnia przetwarzające ogromne ilości obrazów i plików. Żadna z firm nie ujawniła, kto był celem ataku, ile osób padło jego ofiarą ani kto za nim stał — informuje TechCrunch.

Apple używało już wcześniej sformułowania „niezwykle wyrafinowany atak wymierzony w konkretne osoby” w sprawach związanych z komercyjnym oprogramowaniem szpiegującym, którego celem byli dziennikarze, aktywiści i urzędnicy, a nie przypadkowi użytkownicy. Dla większości właścicieli iPhone’ów realne zagrożenie jest mniejsze. Problem w tym, że gdy poprawka staje się publicznie dostępna, badacze i cyberprzestępcy mogą sprawdzić, co się zmieniło, i spróbować odtworzyć exploit. W kolejnych tygodniach niezałatane telefony stają się więc łatwiejszym celem.

Aktualizacja nie usuwa wszystkich zagrożeń. W biuletynie Apple wymienia iPhone’a 11 i nowsze modele, co oznacza, że właściciele starszych urządzeń, na których nie można zainstalować iOS 26, nie otrzymają poprawki w tej wersji. Żadne z dotychczasowych doniesień nie wspomina o poprawce dla Maców z systemami starszymi niż Sequoia. Osoby realnie narażone na ataki potrzebują też czegoś więcej niż jednej aktualizacji: Tryb blokady Apple, który wyłącza wiele podglądów plików i typów załączników, stworzono właśnie z myślą o takich zagrożeniach.

iOS 27 nie jest podatny na tę lukę, co upraszcza wybór. Działa na tych samych telefonach co iOS 26 — od iPhone’a 11 wzwyż — więc każde urządzenie objęte poprawką może również zainstalować pełną aktualizację systemu. Wielu właścicieli czeka kilka tygodni z przejściem na nową główną wersję, by uniknąć początkowych błędów lub problemów z baterią; ta poprawka pozwala im pozostać przy obecnym systemie, nie narażając się na atak. Jak podaje TechCrunch, inna luka w iMessage, niewymagająca żadnego stuknięcia w ekran i wykryta przez belgijską firmę ironPeak, została już załatana w iOS 27 na początku tego miesiąca.

Poprawki obejmują nie tylko telefony. Apple udostępniło iOS 26.7.1 i iPadOS 26.7.1 28 września, a wraz z nimi macOS Tahoe 26.7.1 i macOS Sequoia 15.8.1 dla komputerów Mac. Na iPadach poprawka obejmuje iPada Pro 12,9 cala od trzeciej generacji, iPada Pro 11 cali od pierwszej generacji, iPada Air od trzeciej generacji, podstawowego iPada od ósmej generacji oraz iPada mini od piątej generacji. Aktualizację można pobrać na całym świecie, wybierając kolejno Ustawienia, Ogólne i Uaktualnienia, a na Macu — Ustawienia systemowe.

Luka ma oznaczenie CVE-2026-86950. Apple nie poinformowało, czy ujawni więcej szczegółów; firma rzadko publikuje je w przypadku ataków, które wciąż bada. Jedyną oferowaną przez nią ochroną jest poprawka dostępna już w sekcji Uaktualnienia.

Tagi: cyberbezpieczeństwo, Apple, meta, iphone, CoreGraphics, iOS 26.7.1