Apple retter alvorlig CoreGraphics-feil på iPhone, iPad og Mac

CVE-2026-86950 er en sårbarhet i CoreGraphics, Apples rammeverk for behandling av grafikk. Feilen gjør at en sårbar iPhone, iPad eller Mac kan bli utsatt for kjøring av vilkårlig kode dersom enheten behandler en spesiallaget, ondsinnet fil. Apple sier at feilen ifølge en rapport kan ha blitt utnyttet i et svært avansert angrep mot bestemte personer. Det betyr ikke at alle enheter med eldre programvare er blitt angrepet. 1239

Hvilke versjoner er berørt?

Sårbare versjoner er iOS og iPadOS eldre enn 26.7.1, macOS Sequoia eldre enn 15.8.1 og macOS Tahoe eldre enn 26.7.1. Apple publiserte oppdateringene som retter feilen 28. september 2026. 123

Apples varsel for iPhone og iPad gjelder iPhone 11 og nyere; iPad Pro 12,9-tommers (3. generasjon og nyere); iPad Pro 11-tommers (1. generasjon og nyere); iPad Air (3. generasjon og nyere); iPad (8. generasjon og nyere); og iPad mini (5. generasjon og nyere). 1

Apples sikkerhetsvarsler for Mac oppgir hvilke macOS-versjoner som er berørt, men ikke en egen liste over Mac-modeller. Sjekk hvilken macOS-versjon Macen din har, og installer oppdateringen som tilbys for den. 23

Apple knytter omtalen av mulige angrep til iOS-versjoner før iOS 27. Det beskriver versjonene i rapporten om utnyttelse, men er ikke dokumentasjon på at alle enheter med eldre programvare var mål. 19

Slik kan filen utnytte feilen

Den dokumenterte risikoen oppstår når enheten behandler en ondsinnet spesiallaget fil. Det kan føre til at angriperen får kjørt vilkårlig kode på enheten. Apple og sikkerhetsvarslene som er tilgjengelige, oppgir ikke en bestemt filtype eller nøyaktig hvordan filen når fram til enheten. Det er derfor ikke grunnlag for å slå fast at en bestemt type bilde eller dokument er årsaken. 1239

Hva sier sikkerhetsmyndighetene?

Den amerikanske National Vulnerability Database (NVD), som drives av NIST, registrerer Apples beskrivelse av sårbarheten, berørte versjoner og meldingen om mulig utnyttelse i svært avanserte angrep mot enkeltpersoner. En sikkerhetsnyhetsartikkel skriver også at den amerikanske cybersikkerhetsmyndigheten CISA la CVE-en til listen sin over kjente utnyttede sårbarheter. Det foreliggende CISA-materialet inneholder imidlertid ikke en egen oppføring som bekrefter dette, så opplysningen bør forstås som rapportert, ikke uavhengig bekreftet her. 919

Medier i India melder at CERT-In, landets nasjonale beredskapsorgan for cybersikkerhet, sendte ut et varsel med høy alvorlighetsgrad og ba brukere oppdatere raskt. Det underliggende CERT-In-varselet er ikke blant kildene som er tilgjengelige her, så detaljene i ordlyden og rådene kan ikke kontrolleres direkte mot myndighetenes melding. 1213

Slik installerer du oppdateringen

Installer den nyeste programvareoppdateringen som tilbys på hver enhet:

• iPhone og iPad: Åpne Innstillinger → Generelt → Oppdatering.
• Mac: Åpne Systeminnstillinger → Generelt → Programvareoppdatering.

Apples oversikt over sikkerhetsutgivelser inneholder oppdateringer og tilhørende sikkerhetsvarsler. 1234

Fram til enheten er oppdatert, bør du være forsiktig med å behandle uventede filer, særlig filer fra avsendere du ikke stoler på. Dette er et midlertidig føre-var-råd, ikke en erstatning for oppdateringen – og det betyr ikke at en bestemt filtype er identifisert som problemet. 19

iOS 27.0.1 retter andre iPhone-feil

Feilrettingene i iOS 27.0.1 er separate fra CVE-2026-86950. Apple opplyser at oppdateringen retter en feil som kunne føre til uventet omstart på iPhone 18 Pro og iPhone 18 Pro Max når Face ID ikke godkjente brukeren, en mulig fargefeil i enkelte 2×-bilder på et lite antall av disse modellene, og et problem der berøringsskjermen kunne slutte å reagere når Varslingssenter og Kontrollsenter ble åpnet samtidig.