PoC Celah Apple Ini Memicu Crash—Belum Membuktikan Eksekusi Kode

Bukti konsep (PoC) publik untuk kerentanan Apple CVE-2026-86950 menunjukkan satu hal secara jelas: PDF dengan font tertanam yang dibuat khusus dapat memicu kerusakan memori di CoreGraphics, lalu membuat iPhone atau Mac yang belum diperbarui crash. Namun, demonstrasi itu belum menunjukkan eksploitasi yang berhasil menjalankan kode atau mengambil alih perangkat. Apple menyatakan celah tersebut berpotensi memungkinkan eksekusi kode arbitrer dan mengatakan pihaknya mengetahui laporan tentang dugaan serangan yang sangat tertarget. Rincian pentingnya belum dikonfirmasi. 234

Yang ditunjukkan PoC—dan yang belum

PoC menggunakan PDF berisi font tertanam yang dirancang khusus untuk memicu penulisan di luar batas memori (out-of-bounds write) pada CoreGraphics, komponen Apple yang menangani pemrosesan grafis. Hasil yang dilaporkan adalah perangkat yang belum ditambal mengalami crash saat memproses berkas tersebut. Ini menunjukkan adanya kegagalan yang dapat dipicu, bukan kendali atas perangkat atau rangkaian serangan yang lengkap. 346

Dalam advisori keamanannya, Apple menyebut pemrosesan berkas berbahaya yang dibuat khusus dapat berujung pada eksekusi kode arbitrer. Itu menjelaskan potensi dampak kerentanan, tetapi bukan bukti bahwa PoC publik yang beredar sudah mampu menjalankan kode. 2

Dugaan serangan terarah masih belum terjawab

Apple mengatakan mengetahui laporan bahwa celah ini mungkin telah dieksploitasi dalam serangan yang “sangat canggih” terhadap individu tertentu pada versi iOS sebelum iOS 27. Pernyataan tersebut tidak mengonfirmasi detail serangan, menyebut korban, ataupun menjelaskan cara kerentanan itu digunakan. PoC publik juga tidak mereproduksi atau menguraikan dugaan serangan tersebut. 24

Kredit penemuan untuk Meta Product Security juga tidak membuktikan bahwa WhatsApp terlibat. Sejumlah pemberitaan menyoroti pemeriksaan PDF di WhatsApp sebagai kemungkinan petunjuk tentang jalur penyebaran, tetapi informasi yang tersedia belum memastikan bahwa WhatsApp mengirimkan eksploit tersebut atau terkait dengan dugaan serangan terarah. 45

Pembaruan Apple dan tenggat federal yang belum pasti

Pembaruan Apple yang dirilis pada 28 September 2026 mencakup iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1, dan macOS Tahoe 26.7.1. Advisori Apple mengidentifikasi masalah di CoreGraphics dan menyebut pemrosesan berkas berbahaya yang dibuat khusus dapat menyebabkan eksekusi kode arbitrer. 2

Informasi tentang tenggat untuk lembaga federal AS belum konsisten. Satu laporan menyebut 2 Oktober 2026 sebagai batas waktu penanganan celah ini. Laporan lain menyatakan pemberitahuan CISA tidak mencantumkan tanggal tenggat remediasi. Informasi yang tersedia belum menyelesaikan perbedaan tersebut, jadi tanggal 2 Oktober sebaiknya dipahami sebagai tenggat yang dilaporkan, bukan tanggal yang terkonfirmasi dari entri CISA khusus CVE ini. 1011

Bagi pengguna dan administrator, langkah praktisnya tetap sama: pasang pembaruan keamanan Apple yang sesuai, tanpa menunggu kepastian soal tenggat tersebut.