Bản cập nhật bảo mật kỷ lục 194 CVE của Apple: iOS 26.6, macOS Tahoe 26.6 và sự bùng nổ của nghiên cứu AI

Apple cũng phát hành các bản cập nhật macOS Sequoia 15.7.8 và macOS Sonoma 14.8.8 dành cho các máy Mac cũ hơn không chạy macOS Tahoe, tập trung vào các bản vá bảo mật tương tự .

Các lỗ hổng nghiêm trọng nhất đã được vá

Một số lỗ hổng nghiêm trọng nổi bật trong các bản tin bảo mật của Apple:

• MediaRemote: Một ứng dụng có thể giành được đặc quyền root thông qua lỗi phân tích cú pháp trong xử lý đường dẫn thư mục .
• AVEVideoEncoder (CVE-2026-64747): Lỗi tràn bộ nhớ đệm cho phép ứng dụng thực thi mã tùy ý với đặc quyền kernel .
• Game Center và libc: Các lỗ hổng thoát khỏi sandbox — một ứng dụng độc hại có thể phá vỡ hộp cát (sandbox) của nó .
• CloudAttestation (CVE-2026-43813): Một ứng dụng được chế tạo độc hại có thể vượt qua cơ chế ký mã (code signing) .
• ImageIO: Thực thi mã tùy ý khi xử lý một hình ảnh được chế tạo độc hại .
• SceneKit: Ba lỗ hổng có thể dẫn đến thực thi mã tùy ý khi xử lý các tệp được chế tạo độc hại .
• Kernel: Hơn một tá bản vá cho các lỗi hỏng bộ nhớ kernel, rò rỉ thông tin và tắt hệ thống bất ngờ .
• WebKit: Nhiều bản vá khắc phục lỗi lộ bộ nhớ tiến trình, giả mạo giao diện, vi phạm hộp cát iframe và sự cố treo Safari .

Công cụ AI được vinh danh cùng các nhà nghiên cứu con người

Có lẽ xu hướng nổi bật nhất trong bản cập nhật này là sự ghi nhận đáng kể dành cho các công cụ AI trong ghi chú bảo mật của Apple :

• Claude của Anthropic và các nhà nghiên cứu của Anthropic được ghi nhận cho các bản vá trong WebKit, WebKit Storage và WebDAV, một số trong đó được thực hiện cùng với nhóm nghiên cứu Calif.io .
• OpenAI Codex Security được ghi nhận đã đóng góp vào việc phát hiện lỗ hổng, tiếp nối xu hướng đã thấy trong bản cập nhật bảo mật iOS 26.5.2 trước đó .
• Nhóm AI Red Team của Nvidia cũng được ghi nhận trong ghi chú bảo mật vì đã tìm ra các lỗ hổng .
• Mô hình GLM của Z.AI cũng được ghi nhận cùng với các nhà nghiên cứu con người trong phần cảm ơn .

Điều này diễn ra sau khi Apple trước đó tiết lộ rằng họ đã tăng tốc nhịp độ cập nhật bảo mật để đối phó trực tiếp với các công cụ tấn công hỗ trợ bởi AI. Khối lượng bản vá trong bản phát hành này — bản cập nhật bảo mật lớn nhất trong lịch sử Apple — một phần được cho là nhờ các công cụ AI giúp các nhà nghiên cứu tìm ra lỗ hổng nhanh hơn .

Tình trạng khai thác tích cực

Apple không xác nhận bất kỳ lỗ hổng nào trong số này đã bị khai thác tích cực ngoài thực tế . Điều này phù hợp với cách tiếp cận đã được công bố của công ty là phát hành bản vá nhanh hơn — thậm chí đã chuyển các bản sửa lỗi dự kiến cho bản 26.6 vào bản cập nhật 26.5.2 trước đó — để ứng phó với tốc độ gia tăng của các cuộc tấn công có sự hỗ trợ của AI .

Tối ưu hóa Spotlight cho iOS 27

Ngoài bảo mật, macOS Tahoe 26.6, iOS 26.6 và iPadOS 26.6 bao gồm một thay đổi quan trọng bên dưới lớp vỏ: tối ưu hóa chỉ mục Spotlight để chuẩn bị cho các bản phát hành phiên bản 27 sắp tới dự kiến vào mùa thu này . Apple đã tái cấu trúc chỉ mục tìm kiếm tại WWDC để ổn định, toàn diện và phản hồi nhanh hơn, và bản cập nhật này tối ưu hóa trước chỉ mục để đảm bảo trải nghiệm nâng cấp mượt mà hơn khi iOS 27, macOS 27 và iPadOS 27 ra mắt .

Cách cập nhật

Tất cả các bản cập nhật 26.6 của Apple đều có sẵn cho người dùng. Người dùng iPhone và iPad có thể cập nhật qua Cài đặt > Cài đặt chung > Cập nhật phần mềm, trong khi người dùng Mac có thể sử dụng Cài đặt hệ thống > Cập nhật phần mềm. Các bản cập nhật watchOS và tvOS có sẵn thông qua các ứng dụng đồng hành tương ứng.

Với số lượng bản vá kỷ lục và chưa có dấu hiệu bị khai thác, các chuyên gia bảo mật khuyến nghị người dùng nên cập nhật ngay lập tức để đóng cửa sổ rủi ro trước khi tin tặc có thể phân tích ngược các bản vá.