CVE-2026-86950: luka w CoreGraphics może uruchomić kod złośliwego pliku

CVE-2026-86950 to luka w CoreGraphics — frameworku Apple wykorzystywanym do przetwarzania grafiki. Błąd typu out-of-bounds write oznacza zapis poza wyznaczonym obszarem pamięci. Jeśli podatne urządzenie przetworzy odpowiednio spreparowany plik, może to doprowadzić do uruchomienia dowolnego kodu. 1239

Apple podaje, że zna doniesienie o możliwym wykorzystaniu luki w „wyjątkowo wyrafinowanym” ataku wymierzonym w konkretne osoby. To informacja o ukierunkowanym ataku, a nie potwierdzenie, że zaatakowano wszystkich użytkowników starszych wersji systemów. 1239

Które wersje systemów wymagają aktualizacji?

Zagrożone są urządzenia z wersjami iOS i iPadOS starszymi niż 26.7.1, macOS Sequoia starszym niż 15.8.1 oraz macOS Tahoe starszym niż 26.7.1. Apple opublikowało poprawki 28 września 2026 r. 123

W przypadku iPhone’ów i iPadów Apple wymienia następujące rodziny urządzeń:

• iPhone 11 i nowsze;
• iPad Pro 12,9 cala (3. generacji i nowsze) oraz iPad Pro 11 cali (1. generacji i nowsze);
• iPad Air (3. generacji i nowsze);
• iPad (8. generacji i nowsze);
• iPad mini (5. generacji i nowsze). 1

W komunikatach dotyczących macOS Apple wskazuje wersje systemu, a nie listę konkretnych modeli Maców. Sprawdź wersję macOS na swoim komputerze i zainstaluj aktualizację, którą system udostępnia dla tego urządzenia. 23

Apple zaznacza, że doniesienie o wykorzystaniu luki dotyczy wersji iOS starszych niż iOS 27. Nie oznacza to, że wszystkie urządzenia z wcześniejszym systemem były celem ataku. 19

Jak może zadziałać spreparowany plik?

Potwierdzony scenariusz dotyczy przetworzenia złośliwie przygotowanego pliku. Może ono doprowadzić do wykonania kodu na podatnym urządzeniu. Apple nie wskazuje konkretnego formatu pliku ani sposobu, w jaki trafia on do użytkownika lub zostaje przetworzony. Dlatego nie ma podstaw, by przypisywać zagrożenie wyłącznie obrazom, dokumentom czy określonej metodzie dostarczenia. 1239

Co wiadomo o ostrzeżeniach instytucji?

Amerykańska National Vulnerability Database (NVD), prowadzona przez NIST, odnotowuje opis luki, podatne wersje systemów i informację Apple o możliwym wykorzystaniu w ataku na wybrane osoby. 9

Serwis Security Affairs podał, że amerykańska agencja CISA dodała CVE-2026-86950 do katalogu Known Exploited Vulnerabilities. Dostarczone wyniki CISA nie zawierają jednak osobnego wpisu potwierdzającego tę informację, dlatego należy traktować ją jako doniesienie, a nie niezależnie zweryfikowane tu potwierdzenie. 19

Indyjskie media informują, że CERT-In, indyjska agencja reagowania na incydenty komputerowe, wydała ostrzeżenie o wysokim poziomie zagrożenia i zaleciła szybkie instalowanie aktualizacji. W dostępnych materiałach nie ma samego komunikatu CERT-In, więc jego szczegółowych zaleceń nie można tu sprawdzić bezpośrednio. 1213

Jak zainstalować poprawkę?

Zainstaluj najnowszą aktualizację oferowaną dla danego urządzenia:

• na iPhonie lub iPadzie: Ustawienia → Ogólne → Uaktualnienia;
• na Macu: Ustawienia systemowe → Ogólne → Uaktualnienia. 1234

Do czasu aktualizacji zachowaj ostrożność przy przetwarzaniu niespodziewanych plików, zwłaszcza otrzymanych z nieznanego źródła. To tymczasowy środek ostrożności, a nie zamiennik poprawki — i nie dowód na to, że problem dotyczy konkretnego formatu pliku. 19

iOS 27.0.1 usuwa inne problemy

Poprawki wymienione dla iOS 27.0.1 są odrębne od luki CVE-2026-86950. Według Apple aktualizacja usuwa problem, przez który iPhone 18 Pro lub iPhone 18 Pro Max może niespodziewanie uruchomić się ponownie po nieudanej weryfikacji Face ID. Naprawia też możliwy artefakt kolorystyczny na niektórych zdjęciach 2× wykonanych w określonych warunkach oraz problem z brakiem reakcji ekranu po jednoczesnym otwarciu Centrum powiadomień i Centrum sterowania.