Обновите iPhone, iPad и Mac: что известно об уязвимости CVE-2026-86950

Уязвимость CVE-2026-86950 затрагивает CoreGraphics — системный компонент Apple, который участвует в обработке графики. Если уязвимое устройство обработает специально подготовленный вредоносный файл, это может привести к выполнению произвольного кода. Apple сообщила, что знает о публикации о возможном использовании ошибки в чрезвычайно сложной атаке против отдельных целевых лиц. Это не подтверждает, что атаке подверглись все устройства с уязвимыми версиями ПО. 1239

Какие устройства и версии ПО затронуты

Уязвимыми указаны:

• iOS и iPadOS ниже версии 26.7.1;
• macOS Sequoia ниже версии 15.8.1;
• macOS Tahoe ниже версии 26.7.1.

Исправления включены в iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 и macOS Tahoe 26.7.1. Apple опубликовала уведомления об обновлениях 28 сентября 2026 года. 123

Для iPhone и iPad Apple перечисляет следующие совместимые с затронутыми версиями семейства: iPhone 11 и новее; iPad Pro 12,9 дюйма (3-го поколения и новее); iPad Pro 11 дюймов (1-го поколения и новее); iPad Air (3-го поколения и новее); iPad (8-го поколения и новее); iPad mini (5-го поколения и новее). 1

В уведомлениях для macOS Apple указывает версии систем, а не полный перечень моделей Mac. Проверьте версию macOS на компьютере и установите доступное для неё обновление. 23

В сообщении Apple о возможных атаках речь идёт об уязвимых версиях iOS до iOS 27. Это описывает версии, упомянутые в сообщении об эксплуатации, но не означает, что атаке подвергался каждый iPhone с более ранней системой. 19

Как файл может использовать уязвимость

Подтверждённый сценарий — обработка вредоносно сформированного файла. По данным Apple, это может привести к выполнению произвольного кода на уязвимом устройстве. В опубликованных уведомлениях не уточняются формат файла и способ его доставки или обработки. Поэтому утверждать, что речь обязательно идёт, например, об изображении или документе, оснований нет. 1239

Что сообщили ведомства и специалисты по безопасности

Национальная база уязвимостей США NVD приводит описание воздействия, уязвимые версии и предупреждение Apple о возможном использовании ошибки в сложных атаках против конкретных людей. 9

Издание Security Affairs сообщает, что американское Агентство по кибербезопасности и защите инфраструктуры (CISA) внесло CVE-2026-86950 в каталог известных эксплуатируемых уязвимостей. Однако среди предоставленных материалов нет отдельной записи CISA, которая подтверждала бы именно это сообщение, поэтому здесь его нельзя считать независимо проверенным. 19

Индийские СМИ пишут, что CERT-In — индийская команда реагирования на компьютерные инциденты — выпустила предупреждение высокого уровня и призвала пользователей установить обновления. Тексты самого уведомления CERT-In в доступных материалах нет, поэтому его точные формулировки и рекомендации проверить не удалось. 1213

Как установить исправление

Установите последнее обновление, доступное для вашего устройства:

• iPhone или iPad: «Настройки» → «Основные» → «Обновление ПО»;
• Mac: «Системные настройки» → «Основные» → «Обновление ПО».

Список обновлений и уведомлений безопасности Apple можно найти на странице обновлений безопасности компании. 1234

Пока устройство не обновлено, разумно не открывать неожиданные файлы от неизвестных отправителей. Это временная мера предосторожности, а не замена установке исправления; Apple не указывает конкретный формат файла как причину уязвимости. 19

iOS 27.0.1 устраняет другие проблемы

iOS 27.0.1 исправляет отдельные ошибки и не относится к исправлению CVE-2026-86950. По данным Apple, обновление устраняет неожиданные перезапуски iPhone 18 Pro и iPhone 18 Pro Max, когда Face ID не проходит проверку; цветовой артефакт на некоторых снимках с двукратным увеличением на небольшом числе таких устройств; а также зависание сенсорного экрана при одновременном открытии Центра уведомлений и Пункта управления.