Offentlig demo crasher iPhones og Macs, men viser ikke, at hackere kan overtage dem

En offentlig proof of concept (PoC) for Apples CoreGraphics-sårbarhed CVE-2026-86950 viser, at en PDF med en manipuleret indlejret skrifttype kan udløse hukommelsesfejl og få ikke-opdaterede iPhones og Macs til at gå ned. Den viser ikke, at angriberen kan køre kode eller overtage enheden. Apple oplyser, at fejlen kan føre til vilkårlig kodekørsel, og at selskabet kender til en rapport om mulig udnyttelse i meget målrettede angreb. De nærmere omstændigheder er dog ikke bekræftet. 234

Hvad demonstrationen faktisk viser

PoC'en bruger en PDF med en manipuleret skrifttype til at udløse en skrivning uden for det tilladte hukommelsesområde i CoreGraphics. Resultatet, der er rapporteret, er et nedbrud, når en ikke-opdateret enhed behandler filen. Det viser, at fejlen kan fremkalde en reproducerbar fejl – ikke at nogen har kontrol over enheden, eller at et fuldt angreb virker. 346

Apple skriver i sin sikkerhedsmeddelelse, at behandling af en ondsindet fil kan føre til vilkårlig kodekørsel. Det beskriver, hvad sårbarheden potentielt kan gøre; det er ikke dokumentation for, at den offentlige PoC kan køre kode. 2

Hvad vi ikke ved om de omtalte angreb

Apple siger, at selskabet kender til en rapport om, at fejlen muligvis blev udnyttet i et »ekstremt sofistikeret« angreb mod bestemte personer på iOS-versioner før iOS 27. Formuleringen bekræfter ikke de rapporterede angreb, identificerer ikke eventuelle ofre og beskriver ikke, hvordan fejlen skulle være blevet brugt. Den offentlige PoC genskaber eller forklarer heller ikke angrebene. 24

At Meta Product Security krediteres for at have opdaget fejlen, dokumenterer heller ikke en forbindelse til WhatsApp. Omtale af WhatsApps kontrol af PDF-filer er blevet fremført som et muligt spor til en leveringsmetode, men de tilgængelige oplysninger bekræfter hverken, at WhatsApp leverede exploit-filen, eller at tjenesten var knyttet til de rapporterede angreb. 45

Apples opdateringer og den omtalte amerikanske frist

Apples opdateringer fra 28. september 2026 retter fejlen i iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 og macOS Tahoe 26.7.1. Apples sikkerhedsmeddelelser beskriver fejlen i CoreGraphics og oplyser, at behandling af en manipuleret fil kan føre til vilkårlig kodekørsel. 2

Oplysningerne om en frist for amerikanske myndigheder er mindre entydige. Én omtale angiver 2. oktober 2026 som fristen for føderale myndigheder til at håndtere sårbarheden. En anden skriver, at CISA's meddelelse ikke angav nogen frist. De tilgængelige oplysninger afklarer ikke forskellen, så 2. oktober bør betragtes som en rapporteret frist – ikke som en dato, der er bekræftet i CISA's CVE-specifikke opslag. 1011

For brugere og administratorer er det praktiske råd enkelt: Installér den relevante sikkerhedsopdatering fra Apple i stedet for at afvente en usikker frist.