Atakiem była czcionka w pliku PDF, a kod jest już publiczny

Plik PDF potrafi przejąć iPhone'a. Nie PDF z podejrzanym linkiem w środku ani taki, który prosi o zainstalowanie czegokolwiek: wystarczy sam plik, otwarty, jeśli osadzona w nim czcionka została zbudowana nie tak, jak trzeba.

To CVE-2026-86950, zapis poza granicami pamięci w CoreGraphics, czyli w tej części oprogramowania Apple, która rysuje elementy na ekranie. Apple naprawiło błąd 28 września w iOS i iPadOS 26.7.1, macOS Tahoe 26.7.1 oraz macOS Sequoia 15.8.1, przypisując odkrycie zespołowi bezpieczeństwa produktów Meta. Sformułowanie Apple było ostrożne: luka mogła zostać wykorzystana w wyjątkowo wyrafinowanym ataku wymierzonym w konkretne osoby korzystające z iOS starszego niż wersja 27. Takiego języka Apple używa, gdy chodzi o oprogramowanie szpiegujące. CISA dopisała ją pod koniec września do listy aktywnie wykorzystywanych podatności i dała amerykańskim agencjom federalnym czas do 2 października.

To, co zmieniło się 30 września, to publikacja kodu demonstracyjnego. Powoduje on awarię niezaktualizowanych iPhone'ów i Maców przy użyciu zniekształconego glifu, czyli głośnej i nieszkodliwej połowy tego samego błędu. Badacze zauważyli też nowy kod analizy czcionek w wersjach 26.37.73 i 26.38.74 aplikacji WhatsApp i zastanawiali się głośno, czy to komunikator był drogą dostarczenia, po czym wycofali tę hipotezę jako spekulację. Nie pokazano żadnego ataku wykraczającego poza awarię.

Jeśli masz iPhone'a, iPada albo Maca, otwórz Ustawienia i pozwól aktualizacji zainstalować się dzisiaj, a nie w weekend. Celowane oprogramowanie szpiegujące nie jest twoim problemem, ale opublikowany kod wywołujący awarię ma zwyczaj przeradzać się w coś gorszego, gdy dość osób zacznie przy nim grzebać. Na komputerze z Windows w tym samym domu odpowiednikiem tego obowiązku jest utrzymywanie aktualnego czytnika PDF i przeglądarki, a Tendvane potrafi zaktualizować oba przez winget w jednym przebiegu.