Apple הקדימה תיקוני אבטחה ב-iOS 26.5.2 ואומרת: AI מזרז את התוקפים
Apple שחררה ב-29 ביוני את iOS 26.5.2 עם תיקוני אבטחה שהיו אמורים להגיע ב-26.6. לדבריה אין ראיה לניצול, והסיבה להקדמה היא קצב העבודה של תוקפים עם AI.
TL;DR בקצרה
- ב-29 ביוני 2026 שחררה Apple את iOS 26.5.2, iPadOS 26.5.2 ו-macOS Tahoe 26.5.2, עם תיקונים מבטא של 26.6.
- לדברי Apple, AI מקצר את הזמן שבו תוקפים בונים כלי פריצה, ולכן היא מקצרת את הדרך מהתיקון אל המשתמשים.
- דף האבטחה של Apple מפרט 38 CVE, ורובם ב-WebKit. אין ראיה שמישהו ניצל אותם.
- חמישה ערכים בדף מזכים כלי AI בשמם: Claude, GLM ו-OpenAI Codex Security.
Apple שחררה ב-29 ביוני 2026 את iOS 26.5.2. העדכון מכיל תיקוני אבטחה שהיו אמורים לחכות ל-iOS 26.6. לדברי Apple, אין ראיה שמישהו ניצל את החולשות שהעדכון סוגר. החברה אמרה ל-Reuters שהסיבה להקדמה היא AI. לדבריה, הוא מקצר את הזמן שתוקפים צריכים כדי לבנות כלי פריצה.
מה כולל iOS 26.5.2, ולמה הוא יוצא לפני iOS 26.6
באותו יום יצאו גם iPadOS 26.5.2 ו-macOS Tahoe 26.5.2. בנוסף יצאה Safari 26.5.2 למחשבי Mac עם macOS Sonoma ו-Sequoia. בכל עמודי האבטחה של Apple כתוב שהעדכונים מספקים תיקונים שהופיעו לפני כן בגרסאות הבטא של 26.6.
בדרך כלל תיקוני אבטחה מגיעים יחד עם קפיצת גרסה, למשל מ-26.5 ל-26.6. היוצא מן הכלל הוא תגובה דחופה לקמפיין שמנצל חולשה לא מוכרת. הפעם אין קמפיין כזה. Apple בחרה לשלוח את התיקונים בעדכון עצמאי. הוא זמין לכולם.
Apple לא אמרה בכמה זמן תקדים עדכונים עתידיים, וגם לא באילו תיקונים תבחר להקדים. לפי ניתוח של The Next Web, כלי AI מקלים על הנדסה לאחור של תיקון. תיקון שכבר מופיע בבטא הוא רמז לתוקף. לכן ההמתנה לגרסה הבאה פותחת חלון סיכון.
מה סגרה Apple ב-iOS 26.5.2: 38 חולשות
הדף של Apple עבור iOS ו-iPadOS 26.5.2 מפרט 38 CVE. אותה רשימה מופיעה גם עבור macOS Tahoe 26.5.2. עבור Safari 26.5.2 הדף מפרט 31 CVE. העדכון חל על iPhone 11 ומעלה. הוא חל גם על דגמי iPad Pro, iPad Air, iPad ו-iPad mini חדשים יחסית.
רוב החולשות יושבות ב-WebKit, מנוע הדפדפן של Safari. בסך הכול 26 מהן. עוד ארבע ב-WebRTC, שלוש בליבת המערכת ושתיים בספריית libxslt. הערכים הנוספים מתייחסים ל-IOGPUFamily, לתוספי דפדפן ולאביזרים.
רבות מהחולשות גורמות לקריסה של Safari או של תהליך. אבל חלקן פוגעות בפרטיות. ב-WebKit Storage, למשל, אתר זדוני יכול לחטוף בשקט נתוני לוח (clipboard), לפי הדף של Apple. בשני ערכי WebKit אתר זדוני יכול לשאוב מידע ממקור אחר, ובערך אחד ביקור באתר עלול לדלוף מידע רגיש. בליבת המערכת, אפליקציה עלולה לכתוב לזיכרון הליבה.
דף Apple כולל גם רשימת קרדיטים. חמישה ערכים מזכים כלי AI בשמם: Claude של Anthropic, GLM של Z.AI, ושלושה ערכים עם OpenAI Codex Security. הרשימה אינה אומרת שהכלים מצאו את כל הבאגים. היא מראה שחוקרים כבר משתמשים בהם בעבודה.
מה זה אומר עבורכם
- עדכנו ל-iOS 26.5.2 לפחות: היכנסו ל-Settings, אחר כך General ו-Software Update. ב-27 ביולי יצאה גם iOS 26.6, ולכן מומלץ להתקין את העדכון הגבוה ביותר שזמין.
- עדכנו גם את ה-Mac: ב-macOS Tahoe התקינו את 26.5.2. ב-Sonoma וב-Sequoia מספיק לעדכן את Safari ל-26.5.2.
- הפעילו עדכונים אוטומטיים: כשתיקון יוצא בעדכון עצמאי, כל יום של דחייה חושף אתכם. עדכון אוטומטי סוגר את הפער בלי מאמץ.
- בארגון, שנו את סדר העדיפויות: עדכון 26.x.2 הוא עדכון אבטחה, גם בלי אזהרת ניצול. הכניסו אותו לניהול המכשירים (MDM) באותו שבוע שבו הוא יוצא.
מה קרה מאז
ב-27 ביולי 2026 שחררה Apple את iOS 26.6, iPadOS 26.6 ו-macOS Tahoe 26.6, יחד עם Safari 26.6 וגרסאות נוספות. בדף של 26.5.2 מצוין שערכים נוספו או עודכנו באותו יום, ובהם CVE-2026-43807 ו-CVE-2026-43704.
מקורות והרחבה
- About the security content of iOS 26.5.2 and iPadOS 26.5.2Apple
- About the security content of macOS Tahoe 26.5.2Apple
- Apple says it is shipping security updates early as AI speeds up hackingThe Next Web
- Apple says it is releasing updates early in response to AI cybersecurity concernsReuters (via New Straits Times)
- Apple security releasesApple
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
