Apple-sårbarhet: PoC-en krasjer enheter – men viser ikke at angripere kan ta kontroll

En offentlig tilgjengelig PoC («proof of concept») for sårbarheten CVE-2026-86950 viser hvordan en PDF med en spesiallaget skrifttype kan utløse minnefeil og krasje en upatchet iPhone eller Mac. Demonstrasjonen viser ikke at noen kan kjøre kode eller ta kontroll over enheten. Apple sier likevel at selve sårbarheten kan åpne for vilkårlig kodekjøring, og at selskapet kjenner til en rapport om mulig bruk i svært målrettede angrep. Detaljene er ikke bekreftet. 234

Dette viser PoC-en – og dette viser den ikke

PDF-filen inneholder en tilpasset skrifttype som utløser en skriving utenfor tiltenkte minnegrenser i CoreGraphics, Apples rammeverk for blant annet grafikk- og tekstrendering. Den rapporterte effekten er at en upatchet enhet krasjer når den behandler filen. Det viser en gjentakbar feil, men ikke at angriperen får kontroll over enheten eller har et komplett angrep klart. 346

Apple opplyser at behandling av en ondsinnet fil kan føre til vilkårlig kodekjøring. Det beskriver hva sårbarheten potensielt kan gjøre, ikke hva den offentlige PoC-en faktisk demonstrerer. 2

Målrettede angrep er ikke dokumentert av PoC-en

Apple sier at selskapet kjenner til en rapport om at sårbarheten kan ha blitt utnyttet i et «ekstremt sofistikert» angrep mot bestemte personer med iOS-versjoner før iOS 27. Formuleringen bekrefter ikke at de rapporterte angrepene fant sted. Apple har heller ikke oppgitt hvem som eventuelt ble rammet eller hvordan sårbarheten skal ha blitt brukt. Den offentlige PoC-en gjenskaper ikke angrepene. 24

Det er heller ikke dokumentert at WhatsApp var involvert. Omtale av PDF-kontroller i WhatsApp er blitt trukket fram som et mulig spor om hvordan en fil kan ha blitt levert, men tilgjengelig rapportering bekrefter ikke at appen distribuerte skadefilen eller hadde en forbindelse til de påståtte målrettede angrepene. At Meta Product Security får æren for å ha oppdaget sårbarheten, er ikke i seg selv bevis på en WhatsApp-kobling. 45

Apples oppdateringer og den omtalte fristen

Apple rettet sårbarheten i oppdateringer publisert 28. september 2026: iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 og macOS Tahoe 26.7.1. Apples sikkerhetsvarsler identifiserer feilen i CoreGraphics og sier at behandling av en spesiallaget, ondsinnet fil kan føre til vilkårlig kodekjøring. 2

Opplysningene om en frist for føderale etater i USA spriker. Én rapport oppgir 2. oktober 2026 som frist for å håndtere sårbarheten. En annen sier at CISA-varselet ikke oppga noen frist. Kildene her avklarer ikke forskjellen, så 2. oktober bør omtales som en rapportert frist – ikke som en bekreftet dato i den CVE-spesifikke CISA-oppføringen. 1011

For brukere og IT-ansvarlige er det praktiske rådet likevel enkelt: Installer den aktuelle sikkerhetsoppdateringen fra Apple, og ikke vent på at fristopplysningene skal bli avklart.