Apple שחררה את iOS 26.6: 97 מזהי CVE בדף האבטחה, 23 מהם בליבה, ובלי ניצול מוצהר
העדכון מ-27 ביולי 2026 לאייפון ולאייפד סוגר עשרות חולשות בליבת המערכת, ב-WebKit ובעיבוד תמונות. Apple לא מסמנת אף אחת כמנוצלת, אבל כדאי להתקין.
TL;DR בקצרה
- ב-27 ביולי 2026 שחררה Apple את iOS 26.6 ו-iPadOS 26.6, יחד עם macOS, watchOS, tvOS, visionOS ו-Safari 26.6.
- בדף האבטחה של iOS 26.6 מופיעים כיום 97 מזהי CVE. 23 מהם בליבת המערכת, ו-12 נוספו לדף רק ב-14 בספטמבר.
- חלק מהתיקונים נוגעים להרצת קוד מתמונה שנבנתה בזדון, לבריחה מארגז חול ולשליחת פרטי גישה לשרת במקור אחר.
- Apple לא מציינת שאחת החולשות נוצלה בתקיפות. העדכון חל על iPhone 11 ומעלה.
Apple שחררה ב-27 ביולי 2026 את iOS 26.6 ו-iPadOS 26.6, עדכון אבטחה גדול לאייפון ולאייפד. בדף האבטחה של iOS 26.6 מופיעים כיום 97 מזהי CVE. הגדול בין הרכיבים הוא ליבת המערכת, עם 23 מזהים. Apple לא מדווחת על ניצול של אף חולשה בתקיפות.
iOS 26.6: מה Apple סגרה בליבה, ב-WebKit וב-ImageIO
לפי דף האבטחה של Apple, המזהים מתחלקים ל-46 רכיבים. בליבה (Kernel) יש 23 מזהים. באחד מהם, חיבור לשרת NFS זדוני עלול לשחית את זיכרון הליבה. ב-Model I/O יש תשעה מזהים, ב-WebKit שבעה וב-ImageIO שישה.
כמה רשומות חמורות במיוחד. ב-ImageIO, עיבוד תמונה שנבנתה בזדון עלול להוביל להרצת קוד. ברכיב AVEVideoEncoder, אפליקציה עלולה להריץ קוד עם הרשאות ליבה. ב-libc, אפליקציה זדונית עלולה לברוח מארגז החול (sandbox) שלה. בסביבת Wi-Fi, תוקף בקרבה פיזית עלול לשחית זיכרון של תהליך.
גם WebKit, המנוע של Safari, קיבל תיקונים. ביניהם זיוף ממשק (UI spoofing) כשנכנסים לאתר שמטמיע תכנים זדוניים, והפרה של מדיניות ה-iframe. בנוסף, אתר עלול לדעת אם ביקרתם בקישור מסוים. ברכיב curl יש שני מזהים: פרטי גישה עלולים לצאת לשרת במקור אחר.
מה הדף לא אומר
Apple לא מדווחת על ניצול של אף חולשה. עם זאת, היא מציינת בדף שאינה ״מגלה, דנה או מאשרת בעיות אבטחה״ עד שיש תיקון. לכן היעדר ציון ניצול לא אומר שאפשר לחכות.
גם המספר הזה לא סופי. הדף נושא תאריך פרסום של 14 בספטמבר 2026. באותו יום הוסיפה Apple אליו 12 מזהים ועדכנה עוד רשומות. לכן ספירות שפורסמו בזמן אמת עשויות להיות שונות מהמספר הנוכחי.
יש בדף גם פרט מעניין. בין המוזכרים כמי שסייעו בדיווח: Codex Security ב-WebKit Canvas. וגם Nicholas Carlini עם Claude של Anthropic ב-WebKit Storage. כלי AI כבר נמנים עם מקורות הדיווח על חולשות.
מי צריך להתקין את iOS 26.6 ומה עוד יצא באותו יום
העדכון חל על iPhone 11 ומעלה ועל כמה דגמי iPad. ב-27 ביולי יצאו גם iPadOS 26.6, macOS Tahoe 26.6, macOS Sequoia 15.7.8 ו-macOS Sonoma 14.8.8. יצאו גם tvOS 26.6, watchOS 26.6 ו-visionOS 26.6, וכן Safari 26.6 ל-Sonoma ול-Sequoia. את watchOS 26.6 אפשר להתקין מאפליקציית Watch באייפון או מהגדרות השעון. הסוללה צריכה להיות מעל 50%, והשעון על מטען.
מה זה אומר עבורכם
- עדכנו אייפון ואייפד: היכנסו להגדרות, אל ״כללי״ ואז אל עדכוני התוכנה. בדקו שהגרסה היא 26.6 לפחות.
- עדכנו גם את ה-Mac: גרסאות Sequoia ו-Sonoma קיבלו עדכון משלהן, בנוסף ל-Safari 26.6. אל תשאירו מחשב ישן בלי עדכון.
- בארגון, קבעו מועד: מנהלי IT עם MDM יכולים לדרוש התקנה עד תאריך מסוים. כך לא נשארים מכשירי עובדים עם גרסה ישנה.
- היזהרו מקבצים זרים: כמה תיקונים נוגעים לתמונות ולקבצי תלת-ממד שנבנו בזדון. אל תפתחו קבצים ממקור לא מוכר.
- אל תשכחו את ה-Watch: אם יש לכם Apple Watch, התקינו גם את watchOS 26.6.
מה קרה מאז
ב-17 באוגוסט 2026 שחררה Apple את iOS 26.6.1. לפי דף האבטחה שלה, הוא כולל 35 מזהי CVE, מהם 21 ברכיבי WebKit. גם בו Apple לא מציינת ניצול בשטח.
מקורות והרחבה
- About the security content of iOS 26.6 and iPadOS 26.6Apple
- Apple security releasesApple
- Apple Releases watchOS 26.6 With Security UpdatesMacRumors
- About the security content of iOS 26.6.1 and iPadOS 26.6.1Apple
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
