Apple випустила виправлення для небезпечної вразливості CoreGraphics

CVE-2026-86950 — помилка запису за межі виділеної області пам’яті в CoreGraphics, компоненті Apple, який бере участь в обробці графіки. Якщо вразливий iPhone, iPad чи Mac обробить спеціально підготовлений шкідливий файл, це потенційно дасть змогу виконати на пристрої довільний код. Apple повідомляє, що отримала звіт про можливе використання цієї вразливості в надзвичайно складній атаці проти конкретних людей. Це не означає, що атакували всі пристрої з уразливими версіями системи. 1239

Які пристрої та версії систем уразливі

До переліку вразливого ПЗ входять iOS та iPadOS до версії 26.7.1, macOS Sequoia до 15.8.1 і macOS Tahoe до 26.7.1. Apple виправила помилку в iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 та macOS Tahoe 26.7.1. Оновлення оприлюднили 28 вересня 2026 року. 123

Для iPhone та iPad в оголошенні Apple вказані такі моделі: iPhone 11 і новіші; iPad Pro 12,9 дюйма (3-го покоління і новіші); iPad Pro 11 дюймів (1-го покоління і новіші); iPad Air (3-го покоління і новіші); iPad (8-го покоління і новіші); iPad mini (5-го покоління і новіші). 1

В оголошеннях щодо macOS Apple називає версії системи, а не повний перелік моделей Mac. Перевірте, яку версію macOS установлено на комп’ютері, і встановіть запропоноване для нього оновлення. 23

У примітці Apple про можливі атаки йдеться про версії iOS до iOS 27. Це уточнює, які версії фігурують у повідомленні про експлуатацію вразливості, але не доводить, що атакували кожен пристрій зі старішою системою. 19

Як міг спрацювати шкідливий файл

За даними Apple, вразливість могла проявитися під час обробки спеціально підготовленого файла. Це могло дозволити виконання довільного коду — тобто запуск коду, яким керує зловмисник. В оприлюднених повідомленнях не названо конкретний формат файла й не пояснено, як саме він потрапляє до цілі або обробляється. Тож твердження про певний тип зображення, документа чи спосіб доставки виходили б за межі підтверджених даних. 1239

Що повідомляють органи кібербезпеки

Національна база даних вразливостей США (NVD) фіксує опис наслідків, уразливі версії та повідомлення Apple про можливе використання помилки в дуже складних атаках проти окремих людей. У профільному матеріалі також стверджується, що Агентство з кібербезпеки та захисту інфраструктури США (CISA) додало CVE до каталогу відомих експлуатованих вразливостей. Оскільки серед наданих результатів CISA немає окремого запису, який підтверджував би це повідомлення, тут його слід вважати інформацією з медіа, а не незалежно перевіреним фактом. 919

Індійські медіа пишуть, що CERT-In — індійська команда реагування на комп’ютерні надзвичайні події — оголосила попередження високого рівня небезпеки та закликала оперативно оновити пристрої. Оригінального повідомлення CERT-In у доступних матеріалах немає, тому деталі його формулювань і рекомендацій тут не можна перевірити безпосередньо. 1213

Як установити виправлення

Установіть найновіше оновлення, яке пропонує пристрій. На iPhone або iPad відкрийте Параметри → Загальні → Оновлення ПЗ. На Mac перейдіть у Системні параметри → Загальні → Оновлення ПЗ. Перелік оновлень і повідомлень безпеки Apple публікує на сторінці з випусками безпеки. 1234

Поки пристрій не оновлено, обережно ставтеся до неочікуваних файлів, особливо отриманих від невідомих відправників. Це тимчасовий запобіжний крок, а не заміна встановленню виправлення. Також це не свідчить, що вразливість пов’язана з якимось одним форматом файла. 19

iOS 27.0.1 виправляє інші проблеми iPhone

Перелік виправлень в iOS 27.0.1 не стосується CVE-2026-86950. За даними Apple, оновлення усуває несподівані перезавантаження iPhone 18 Pro та iPhone 18 Pro Max, які могли виникати після невдалої автентифікації Face ID; можливу кольорову аномалію на деяких знімках із дворазовим наближенням на невеликій кількості таких пристроїв; а також зависання сенсорного екрана, коли одночасно відкривають Центр сповіщень і Центр керування.