Mã thử nghiệm CVE-2026-86950 cho thấy gì — và chưa chứng minh được điều gì?

Bản thử nghiệm khai thác (PoC) công khai cho lỗ hổng CoreGraphics CVE-2026-86950 cho thấy một tệp PDF có phông chữ nhúng được tạo riêng có thể gây hỏng bộ nhớ và làm treo iPhone hoặc Mac chưa cập nhật. Nhưng PoC này chưa chứng minh được khả năng thực thi mã hay chiếm quyền thiết bị. Apple cho biết lỗi nền tảng có thể dẫn đến thực thi mã tùy ý, đồng thời nói họ biết về một báo cáo cho rằng lỗi có thể đã bị lợi dụng trong các cuộc tấn công nhắm mục tiêu rất tinh vi. Nhiều chi tiết vẫn chưa được xác nhận. 234

PoC thực sự chứng minh điều gì?

Bản trình diễn sử dụng PDF chứa phông chữ được tạo đặc biệt để kích hoạt lỗi ghi vượt giới hạn trong CoreGraphics — một dạng lỗi bộ nhớ. Khi thiết bị chưa vá xử lý tệp, kết quả được ghi nhận là máy bị treo. Điều này cho thấy lỗi có thể tái hiện, chứ không đồng nghĩa người tạo tệp đã kiểm soát được thiết bị hoặc hoàn thành một cuộc tấn công. 346

CoreGraphics là thành phần của Apple xử lý đồ họa và nội dung như văn bản, hình ảnh. Trong khuyến cáo bảo mật, Apple nói việc xử lý một tệp được tạo độc hại có thể dẫn đến thực thi mã tùy ý. Đây là mức độ tác động tiềm tàng của lỗ hổng, không phải bằng chứng rằng PoC công khai đã thực thi được mã. 2

Các cuộc tấn công được báo cáo vẫn còn nhiều điểm chưa rõ

Apple cho biết họ biết về một báo cáo nói rằng lỗi có thể đã bị khai thác trong một cuộc tấn công “cực kỳ tinh vi”, nhắm vào một số cá nhân cụ thể sử dụng phiên bản iOS trước iOS 27. Cách diễn đạt này không xác nhận độc lập cuộc tấn công, không nêu danh tính nạn nhân và cũng không mô tả lỗ hổng đã được sử dụng ra sao. PoC công khai không tái hiện hay giải thích những vụ việc được báo cáo. 24

Việc Meta Product Security được ghi nhận phát hiện lỗ hổng cũng không chứng minh WhatsApp có liên quan. Một số bài viết nhắc đến các bước kiểm tra PDF của WhatsApp như một manh mối có thể về đường phát tán. Tuy vậy, thông tin hiện có chưa xác nhận WhatsApp đã chuyển phát tệp khai thác hoặc liên quan đến các cuộc tấn công được báo cáo. 45

Bản cập nhật Apple và hạn chót liên bang

Các bản cập nhật Apple phát hành ngày 28/9/2026 xử lý lỗi này gồm iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 và macOS Tahoe 26.7.1. Trong các khuyến cáo, Apple xác định lỗi nằm ở CoreGraphics và cảnh báo việc xử lý tệp độc hại có thể dẫn đến thực thi mã tùy ý. 2

Thông tin về hạn chót dành cho cơ quan liên bang chưa thống nhất. Một bài viết nêu ngày 2/10/2026 là hạn chót để các cơ quan xử lý lỗ hổng. Một nguồn khác cho biết thông báo CISA không nêu hạn hoàn thành khắc phục. Các thông tin hiện có chưa giải quyết được khác biệt này, vì vậy nên xem ngày 2/10 là hạn chót được một nguồn đưa tin, không phải mốc đã được xác nhận từ mục CISA riêng cho CVE này. 1011

Với người dùng và quản trị viên, việc nên làm vẫn rõ ràng: cài đặt bản cập nhật bảo mật phù hợp của Apple, thay vì chờ xác nhận về hạn chót.