Apple-laitteissa vakava tiedostojen käsittelyyn liittyvä haavoittuvuus

Applen CoreGraphics-komponentista löytynyt haavoittuvuus CVE-2026-86950 voi altistaa laitteen hyökkäykselle, kun se käsittelee haitallisesti muokatun tiedoston. Apple kertoo, että haavoittuvuutta on saatettu käyttää erittäin kehittyneessä hyökkäyksessä tiettyjä henkilöitä vastaan. Tämä ei tarkoita, että kaikkia haavoittuvia laitteita olisi hyökätty vastaan. 1239

Mitkä laitteet ja ohjelmistoversiot ovat vaarassa?

Haavoittuvuus koskee iOS- ja iPadOS-versioita ennen 26.7.1:tä, macOS Sequoia -versioita ennen 15.8.1:tä sekä macOS Tahoe -versioita ennen 26.7.1:tä. Apple julkaisi korjauspäivitykset 28. syyskuuta 2026. 123

Applen iOS- ja iPadOS-tietoturvatiedote kattaa seuraavat laitteet:

• iPhone 11 ja sitä uudemmat mallit
• iPad Pro 12,9 tuumaa, 3. sukupolvi ja uudemmat
• iPad Pro 11 tuumaa, 1. sukupolvi ja uudemmat
• iPad Air, 3. sukupolvi ja uudemmat
• iPad, 8. sukupolvi ja uudemmat
• iPad mini, 5. sukupolvi ja uudemmat 1

Applen macOS-tiedotteissa vaikutuksen alaiset versiot määritellään Sequoia- ja Tahoe-käyttöjärjestelmäversioina, ei Mac-mallikohtaisena luettelona. Tarkista Macisi macOS-versio ja asenna sille tarjottu päivitys. 23

Apple kertoo hyökkäysraportin koskevan iOS-versioita ennen iOS 27:ää. Tämä kuvaa raportissa mainittuja ohjelmistoversioita, eikä osoita, että kaikkia vanhempaa iOS-versiota käyttäviä laitteita olisi kohdennettu. 19

Miten tiedosto voi aiheuttaa haavoittuvuuden?

Apple kuvaa riskin syntyvän, kun laite käsittelee haitallisesti muokatun tiedoston. Seurauksena hyökkääjä voi mahdollisesti saada laitteessa suoritettua mielivaltaista koodia. Haavoittuvuus liittyy muistialueen rajojen ylittävään kirjoitukseen, johon Apple kertoo vastanneensa parantamalla rajatarkistuksia. 1239

Tiedotteissa ei nimetä tiettyä tiedostomuotoa eikä kerrota yksityiskohtaisesti, miten tiedosto päätyy kohteeseen tai miten sitä käsitellään. Siksi ei ole perusteltua väittää, että jokin tietty kuva-, dokumentti- tai muu tiedostotyyppi olisi haavoittuvuuden laukaisija. 1239

Mitä viranomaiset ja tietoturvalähteet kertovat?

Yhdysvaltain NVD-haavoittuvuustietokanta kirjaa Applen kuvauksen vaikutuksesta, haavoittuvat ohjelmistoversiot ja tiedon mahdollisesta kohdennetusta hyväksikäytöstä. Tietoturvauutinen puolestaan kertoo, että Yhdysvaltain kyberturvallisuusvirasto CISA lisäsi haavoittuvuuden tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa. Käytettävissä olevissa CISA-tuloksissa ei kuitenkaan ole yksittäistä merkintää, jolla uutisen väitteen voisi vahvistaa, joten CISA-tieto on syytä ymmärtää uutisoituna väitteenä. 919

Intialaiset uutismediat kertovat, että maan CERT-In-viranomainen antoi haavoittuvuudesta vakavuudeltaan korkean varoituksen ja kehotti asentamaan päivitykset viipymättä. Käytettävissä ei ole CERT-Inin alkuperäistä tiedotetta, joten sen tarkkaa sanamuotoa ja suosituksia ei voi tässä varmistaa suoraan viranomaislähteestä. 1213

Näin asennat korjauspäivityksen

Asenna laitteellesi tarjottu uusin ohjelmistopäivitys:

• iPhone tai iPad: Asetukset → Yleiset → Ohjelmistopäivitys
• Mac: Järjestelmäasetukset → Yleiset → Ohjelmistopäivitys

Apple ylläpitää myös luetteloa ohjelmistojensa tietoturvajulkaisuista. 1234

Jos laite ei ole vielä ajan tasalla, vältä odottamattomien tiedostojen käsittelyä etenkin, jos lähettäjä ei ole luotettava. Tämä on varovainen väliaikainen keino, ei korvaava ratkaisu päivitykselle — eikä näyttö siitä, että jokin tietty tiedostotyyppi olisi ongelman syy. 19

iOS 27.0.1 korjaa erillisiä iPhone-ongelmia

iOS 27.0.1:n korjaukset eivät liity CVE-2026-86950-haavoittuvuuteen. Applen mukaan päivitys korjaa iPhone 18 Pro- ja iPhone 18 Pro Max -mallien odottamattoman uudelleenkäynnistymisen, joka voi tapahtua Face ID -tunnistuksen epäonnistuessa. Lisäksi se korjaa tietyissä valaistusoloissa 2×-asetuksella otetuissa kuvissa pienellä määrällä näitä malleja näkyvän värivirheen sekä kosketusnäytön vastaamattomuuden, joka voi ilmetä, kun Ilmoituskeskus ja Ohjauskeskus avataan yhtä aikaa.