iPhone XR właśnie dostał poprawkę, którą Apple wypuściło miesiąc temu

CVE-2026-86950 naprawiono na nowszych iPhone'ach pod koniec września, w iOS 26.7.1. Sformułowanie Apple od tego czasu nie złagodniało: firma "ma wiedzę o zgłoszeniu wskazującym, że problem ten mógł zostać wykorzystany w wyjątkowo wyrafinowanym ataku wymierzonym w konkretne osoby, na wersjach iOS wcześniejszych niż iOS 27". CISA dopisała go do katalogu znanych wykorzystywanych podatności 29 września. 26 października poprawka dotarła wreszcie do telefonów, którym Apple nie daje już nowych wersji iOS.

Chodzi o iOS 18.7.11 i iPadOS 18.7.11, dla iPhone'a XS, XS Max i XR, iPada siódmej generacji oraz kilku starszych iPadów. Błąd to zapis poza zakresem w CoreGraphics, czyli w tej części systemu, która rysuje obraz, zgłoszony przez Meta Product Security, a do uruchomienia kodu wystarczy otwarcie spreparowanego pliku. "Wyjątkowo wyrafinowany atak wymierzony w konkretne osoby" to firmowy zwrot Apple oznaczający komercyjne oprogramowanie szpiegowskie, więc realne ryzyko dla kogokolwiek, kto to czyta, nigdy nie było wysokie.

Dwie pozostałe poprawki w tej aktualizacji są bliższe codzienności. Jedna dotyczy CoreMedia, gdzie "złośliwa aplikacja może uzyskać dostęp do aparatu bez zgody użytkownika", druga komponentu Audio. O żadnej z nich nie wiadomo, by została przeciwko komuś użyta. Obie są tego rodzaju, że rok później pojawiają się w masowym zestawie złośliwego oprogramowania.

Tego samego dnia przyszły iOS i iPadOS 27.2 ze 163 poprawkami oraz macOS Golden Gate 27.2 z 263, razem 286 odrębnych błędów według wyliczeń SecurityWeek. Nawyk wart przejęcia to sprawdzenie starego urządzenia z szuflady, tego trzymanego do muzyki albo oddanego dziecku, bo o telefonie, który rzadko się otwiera, nikt nie przypomina. Na komputerze z Windows ta sama zaległość siedzi w zainstalowanych programach, a nie w systemie, i właśnie tym zajmuje się oparty na winget mechanizm aktualizacji aplikacji w Tendvane: wypisuje, co zostało w tyle, i nadrabia to za jednym razem.