Apple усунула 30 вразливостей в iOS та macOS

Apple випустила оновлення безпеки iOS 26.6.1, iPadOS 26.6.1 та macOS Tahoe 26.6.2. Ці версії усувають 29 вразливостей, серед яких — можливість виконання довільного коду через оброблення зображень та обхід автентифікації IPSec на iPhone. Це вже третє оновлення безпеки від Apple за останні три тижні. Одночасно вийшло оновлення для старіших пристроїв — iOS 18.7.10 та iPadOS 18.7.10, — яке містить понад 120 виправлень.

iOS 26.6.1 та iPadOS 26.6.1: 29 вразливостей

Оновлення для актуальних моделей iPhone та iPad закриває 29 вразливостей, які вперше з’явилися у бета-версіях iOS 27 та iPadOS 27. Оновлення доступне для iPhone 11 і новіших моделей, а також для багатьох моделей iPad.

Серед найбільш помітних виправлених проблем:

Audio (CVE-2026-65339) — логічна помилка, що дозволяла застосункам отримувати доступ до чутливих даних користувача. Вразливість виявила команда Meta Red Team X.
ImageIO (CVE-2026-65346) — цілочисельне переповнення під час оброблення зображення могло призвести до виконання довільного коду. Інша вразливість у цьому ж компоненті (CVE-2026-65347) призводила до відмови в обслуговуванні.
Ядро — три окремі вразливості: use-after-free, що дозволяв віддаленому зловмиснику аварійно завершити роботу системи; читання за межами буфера з можливістю доступу до пам’яті ядра; а також пошкодження пам’яті ядра застосунком.
Telephony (CVE-2026-65329) — ця вразливість актуальна лише для iPhone. Зловмисник з привілейованою позицією в мережі міг обійти автентифікацію IPSec і перехопити мережевий трафік. Про неї повідомили дослідники Рурського університету в Бохумі.

macOS Tahoe 26.6.2: той самий перелік, але без вразливості телефонії

Бюлетень безпеки для macOS містить 28 вразливостей — ідентичний набір, що й для мобільних систем, за винятком вразливості Telephony, яка стосується лише iPhone. За даними Apple, ці виправлення вперше з’явилися у бета-версії macOS Golden Gate 27.

Оновлень для macOS Sequoia та macOS Sonoma цього разу не було. Власники Mac, які не підтримують Tahoe, не отримали цих патчів. Того ж дня вийшло оновлення visionOS 26.6.1, але Apple ще не оприлюднила деталі щодо нього.

21 із 29 вразливостей — у WebKit

Найбільша кількість виправлень припадає на WebKit — рушій, який використовується в Safari та всіх браузерах на iPhone та iPad. З 29 вразливостей, зазначених у бюлетені iOS, 21 стосується WebKit та пов’язаних із ним компонентів, таких як WebKit History і WebKit Storage. Переважно це проблеми, пов’язані з пошкодженням пам’яті та аварійним завершенням роботи Safari під час оброблення спеціально сформованого вебвмісту. Одна з проблем дозволяла зловмисному сайту отримати доступ до чутливих даних.

Дев’ять із цих CVE (Common Vulnerabilities and Exposures) були виявлені за допомогою штучного інтелекту, зокрема, підрозділом OpenAI Codex Security. Це не поодинокий випадок: у бюлетені для старіших пристроїв Apple окремо згадує дослідників, які вказали на використання ШІ у своїй роботі.

Чому патчі виходять частіше

Три випуски оновлень безпеки за три тижні (27 липня, 6 серпня та 17 серпня, згідно зі сторінкою бюлетенів Apple) — це нетиповий темп для компанії. Однією з причин є те, що інструменти на основі ШІ значно здешевили та прискорили процес пошуку вразливостей.

Однак це призводить і до збільшення кількості неякісних звітів. Apple у настановах програми Security Bounty зазначає, що отримує багато повідомлень про нібито серйозні проблеми безпеки, згенеровані великими мовними моделями та надіслані без належної перевірки чи доказів. За повторне надсилання таких звітів (зокрема, про теоретичні проблеми або знайдені ШІ без валідації) Apple може призупинити розгляд заявок дослідника на 180 днів, а після двох таких призупинень — назавжди виключити його з програми.

У червні 2026 року компанія також обмежила кількість одночасно відкритих звітів від одного дослідника та запровадила 30-денну паузу після досягнення ліміту. Ці зміни Apple підтвердила виданню Financial Times, зазначивши, що дослідники можуть запитувати збільшення ліміту будь-коли.

Старіші iPhone та iPad отримали понад 120 виправлень

Окремий пакет оновлень — iOS 18.7.10 та iPadOS 18.7.10 — призначений для пристроїв, які не підтримують iOS 26: iPhone XS, iPhone XS Max, iPhone XR та iPad 7-го покоління. Його бюлетень перелічує понад 120 CVE, що вчетверо більше, ніж у основному оновленні.

Це накопичувальний реліз, який містить виправлення, що раніше з’явилися в бета-версіях iOS 26.6 та iOS 27. Серед них — понад півтора десятка вразливостей ядра, помилки у Wi-Fi, Siri, «Контактах», обробленні зображень і 3D-моделей, а також вразливість в AVEVideoEncoder (CVE-2026-64747), що дозволяла застосункам виконувати довільний код із привілеями ядра.

Цікаво, що серед авторів звітів у цьому бюлетені є дослідники, які вказали на роль ШІ: CVE-2026-64757 у WebKit зараховано Міладу Насру та Ніколасу Карліні «з Claude, Anthropic», а CVE-2026-28984 — Артему Дінабургу з Trail of Bits через процедуру координованого розкриття Anthropic.

Активної експлуатації не зафіксовано

Apple не повідомляє про те, що будь-які з виявлених вразливостей вже активно експлуатуються зловмисниками. Однак це не привід відкладати встановлення оновлень. Після публікації технічні деталі стають доступними, і пристрої на старих версіях програмного забезпечення можуть стати легкою мішенню.

Як встановити оновлення

iPhone та iPad: Перейдіть до «Параметри» → «Загальні» → «Оновлення ПЗ».
Mac: Перейдіть до «Системні параметри» → «Загальні» → «Оновлення ПЗ».

Перед встановленням переконайтеся, що пристрій заряджений щонайменше наполовину або підключений до джерела живлення, а на накопичувачі достатньо вільного місця. Оновлення для iOS, iPadOS та visionOS неможливо відкотити до попередньої версії після встановлення.

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.

ТЕМИ: Apple iOS iOS 26 iPadOS macOS WebKit вразливості оновлення безпеки Штучний Інтелект Поділитися Facebook Threads Копіювати посилання Друк Попередня стаття Як вимкнути геолокацію на iPhone: повний контроль доступу застосунків Наступна стаття Комбінації клавіш у Windows 11: повний довідник