Apple תיקנה פרצה מנוצלת גם באייפונים ישנים, ו-iOS 27.2 סוגרת 163 חולשות
ב-26 באוקטובר הגיע תיקון לפרצת CoreGraphics, שלפי Apple אולי נוצלה בתקיפה מתוחכמת, גם ל-iPhone XS ו-XR. במקביל יצאו iOS 27.2, iOS 26.7.2 ועדכונים ל-Mac, לשעון ולטלוויזיה.
TL;DR בקצרה
- iOS 18.7.11 מביאה ל-iPhone XS, XS Max, XR ול-iPad דור 7 תיקון לחולשה CVE-2026-86950 ב-CoreGraphics.
- Apple מסרה שהחולשה אולי נוצלה ״בתקיפה מתוחכמת במיוחד״ נגד אנשים מסוימים, בגרסאות שלפני iOS 27.
- באייפונים חדשים התיקון הגיע כבר ב-28 בספטמבר, ב-iOS 26.7.1.
- דף האבטחה של iOS 27.2 מונה 163 מזהי CVE, בלי סימון של ניצול בפועל.
Apple שחררה ב-26 באוקטובר את iOS 18.7.11 לאייפונים ישנים, עם תיקון לפרצת CoreGraphics שתוקפים אולי כבר ניצלו. העדכון מיועד ל-iPhone XS, ל-iPhone XS Max, ל-iPhone XR ול-iPad מהדור השביעי. באותו יום הוציאה Apple גם את iOS 27.2 ואת iOS 26.7.2 לאייפונים החדשים. היו גם עדכוני אבטחה למחשבי Mac, לשעון, לטלוויזיה ול-Vision Pro.
מי שמחזיק אייפון ישן במגירה, או נותן אותו לילד או להורה, צריך לעדכן אותו. זו בדיוק הקבוצה שנשארה חשופה עד העדכון הזה.
מה ידוע על פרצת CoreGraphics
החולשה, CVE-2026-86950, יושבת ברכיב CoreGraphics. זו הספרייה שמציירת גרפיקה, טקסט ותמונות במכשירי Apple. לפי דף האבטחה של Apple, זו כתיבה מחוץ לגבולות הזיכרון. תוקף יכול להכין קבצים מיוחדים, שפתיחה שלהם מובילה להרצת קוד על המכשיר.
לדברי Apple, היא יודעת על דיווח שלפיו החולשה ״אולי נוצלה בתקיפה מתוחכמת במיוחד״. לדבריה, התקיפה כוונה נגד אנשים מסוימים, בגרסאות iOS שלפני iOS 27. את החולשה גילה צוות אבטחת המוצר של Meta. Apple לא פרטה מי היו המטרות או איך הקובץ הגיע אליהן.
באייפונים החדשים, מ-iPhone 11 ומעלה, Apple סגרה את הפרצה כבר ב-28 בספטמבר, בעדכון iOS 26.7.1. ב-26 באוקטובר התיקון הגיע גם לדגמים שלא יכולים לעבור ל-iOS 26. BleepingComputer דיווח על העדכון ב-27 באוקטובר.
למה זה חשוב? iPhone XS ו-XR יצאו ב-2018, והם לא יכולים לעבור ל-iOS 26 או ל-iOS 27. Apple ממשיכה לשלוח להם תיקוני אבטחה נקודתיים בענף של iOS 18. אבל אין לה התחייבות פומבית לכמה זמן זה יימשך. מי שמשתמש במכשיר כזה לבנק, למייל או לוואטסאפ צריך לעקוב אחרי העדכונים, ולתכנן החלפה.
iOS 18.7.11 מתקנת עוד שתי חולשות. הראשונה ברכיב Audio, ומאפשרת לאפליקציה לחשוף מידע רגיש. השנייה ב-CoreMedia, ומאפשרת לאפליקציה זדונית לגשת למצלמה בלי הרשאה.
iOS 27.2: עדכון ענק בלי ניצול מוצהר
לפי ספירה של GEEKLIK בדף האבטחה של iOS 27.2, הוא מונה 163 מזהי CVE. בדף של iOS 26.7.2, למי שנשאר בגרסה הקודמת, יש 134. באף אחד מהם Apple לא מציינת ניצול בפועל.
בין התיקונים ב-iOS 27.2 יש כמה חולשות ב-WebKit, מנוע הדפדפן. בחלק מהן דף אינטרנט זדוני יכול להוביל להרצת קוד. יש גם חולשות שאפשרו לתוקף לצאת מרחוק מארגז החול של הדפדפן. אחרות אפשרו לאפליקציות לגשת ל-Bluetooth או למצלמה בלי הסכמה, או לעקוף את בדיקת תעודות האבטחה.
העובדה ש-Apple לא מציינת ניצול לא אומרת שאפשר לחכות. חולשות בדפדפן ובפרטיות הן בדיוק מה שתוקפים משלבים בשרשראות תקיפה. ברגע שהתיקון יוצא, גם התוקפים יכולים ללמוד ממנו איפה הבעיה.
מה זה אומר עבורכם
- אייפון ישן בבית? ב-iPhone XS, XS Max או XR, היכנסו להגדרות ואז לכללי. במסך עדכון התוכנה, התקינו את iOS 18.7.11.
- אייפון חדש: התקינו את iOS 27.2. מי שנשאר ב-iOS 26 צריך את iOS 26.7.2.
- גם ב-Mac: באותו יום יצאו macOS Golden Gate 27.2, macOS Tahoe 26.7.2 ו-macOS Sequoia 15.8.2. עדכנו גם את Safari אם הוא לא מתעדכן עם המערכת.
- הפעילו עדכונים אוטומטיים: באותו מסך, הפעילו את האפשרות להתקין עדכוני אבטחה מעצמם.
- אנשים בסיכון גבוה: עיתונאים, פעילים ומנהלים בכירים יכולים להפעיל את מצב הנעילה (Lockdown Mode). הוא מצמצם את שטח התקיפה של קבצים והודעות.
- בארגון: בדקו במערכת ניהול המכשירים אילו אייפונים עדיין לא עודכנו. שקלו לחסום גישה למייל הארגוני ממכשירים שלא עודכנו.
מקורות והרחבה
- About the security content of iOS 18.7.11 and iPadOS 18.7.11Apple
- About the security content of iOS 27.2 and iPadOS 27.2Apple
- About the security content of iOS 26.7.1 and iPadOS 26.7.1Apple
- Apple backports CoreGraphics zero-day patches to older iPhonesBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
