Fontul din interiorul PDF-ului era atacul, iar acum codul este public

Un PDF poate prelua un iPhone. Nu un PDF cu un link dubios în el și nici unul care îți cere să instalezi ceva: ajunge fișierul în sine, deschis, dacă un font încorporat în el a fost construit greșit.

Este vorba de CVE-2026-86950, o scriere în afara limitelor în CoreGraphics, partea din software-ul Apple care desenează lucrurile pe ecran. Apple a reparat-o pe 28 septembrie în iOS și iPadOS 26.7.1, macOS Tahoe 26.7.1 și macOS Sequoia 15.8.1, creditând echipa de securitate a produselor Meta pentru descoperire. Formularea Apple a fost prudentă: breșa ar fi putut fi exploatată într-un atac extrem de sofisticat împotriva unor persoane alese anume, care foloseau iOS anterior versiunii 27. Acesta este limbajul pe care Apple îl păstrează pentru programele spion. CISA a adăugat-o la finalul lunii septembrie pe lista vulnerabilităților exploatate activ și a dat agențiilor federale americane termen până pe 2 octombrie.

Ce s-a schimbat pe 30 septembrie este că a devenit public un cod demonstrativ. Blochează iPhone-urile și Mac-urile neactualizate cu ajutorul unui glif deformat, adică jumătatea zgomotoasă și inofensivă a aceleiași erori. Cercetătorii au observat și cod nou de analiză a fonturilor în versiunile 26.37.73 și 26.38.74 ale WhatsApp și s-au întrebat cu voce tare dacă mesageria era calea de livrare, apoi au retras acea ipoteză ca fiind speculație. Niciun atac dincolo de blocare nu a fost demonstrat.

Dacă ai un iPhone, un iPad sau un Mac, deschide Setări și lasă actualizarea să se instaleze azi, nu în weekend. Programele spion țintite nu sunt problema ta, dar codul de blocare publicat are obiceiul de a se transforma în ceva mai rău de îndată ce destui oameni încep să scormonească în el. Pe calculatorul cu Windows din aceeași casă, sarcina echivalentă este să ții la zi cititorul de PDF și browserul, iar Tendvane le poate aduce pe amândouă la zi prin winget într-o singură trecere.