Az iPhone XS és XR is javítást kapott a célzott támadásokban kihasznált Apple-hibára
Régebbi iPhone és iPad készülékeken is javítható már az a CoreGraphics-hiba, amelyet az NKI híre szerint aktívan kihasználtak. A sérülékenység szerepel a CISA kihasznált hibákat gyűjtő KEV-listáján is, az amerikai szövetségi szerveknek előírt javítási határidő pedig már lejárt.
Frissítés (2026. november 5.): újabb cikkünk az ügyről
Már javított mobilos hibákat használt ki az APT29-hez kötött kampány
Fontos
Aktívan kihasznált, kritikus: CVSS 8.8
Az iPhone XS és XR mellett több iPad is megkapta a javítást
Az Apple szeptemberben már javította a sérülékenységet az újabb rendszerágakon, most pedig régebbi telefonokra és táblagépekre is elérhetővé tette a megoldást. Az NKI beszámolója a következő készülékeket sorolja fel:
| Készülékcsalád | A közlésben szereplő modellek |
|---|---|
| iPhone | iPhone XS, iPhone XS Max, iPhone XR |
| iPad | 7. generációs iPad, 9. generációs és újabb iPad |
| iPad Air | 4. generációs és újabb iPad Air |
| iPad mini | 6. generációs és újabb iPad mini |
A CVE-2026-86950 leírása az iOS 18.7.11 és az iPadOS 18.7.11 verziót is a javítást tartalmazó kiadások között nevezi meg. Ha érintett készüléket használsz, mielőbb telepítsd a hozzá elérhető biztonsági frissítést. A forrás ezt annak ellenére is határozottan ajánlja, hogy a beszámoló célzott támadásokról szól.
Egy rosszindulatú fájl feldolgozása is kódfuttatáshoz vezethet
A Meta Product Security által felfedezett hiba a CoreGraphics keretrendszerben található. Ez felel a kétdimenziós vektorgrafikáért, a szövegek kirajzolásáért és a képek megjelenítéséért az Apple több operációs rendszerében.
A probléma miatt a program a számára lefoglalt memóriaterületen kívülre írhat adatot. Ennek következménye adatkárosodás, programösszeomlás vagy akár távoli kódfuttatás is lehet. Az Apple leírása szerint egy rosszindulatúan összeállított fájl feldolgozása tetszőleges kód végrehajtásához vezethet. A javítás a memóriaterület határainak szigorúbb ellenőrzésével kezeli a hibát.
A gyártó olyan jelentésről számolt be, amely rendkívül kifinomult, konkrét személyek ellen irányuló támadáshoz köti a sérülékenységet. Az érintett célpontok az iOS 27 előtti rendszert használtak.
A KEV-határidő október 13-án lejárt, de nem a magyar felhasználóknak szólt
A CISA 2026. szeptember 29-én vette fel a sérülékenységet a KEV-listára. Ebbe azok a hibák kerülnek, amelyek tényleges kihasználására bizonyíték áll rendelkezésre.
A bejegyzésben szereplő javítási határidő 2026. október 13. volt, tehát már elmúlt. Ez az amerikai szövetségi szerveknek előírt határidő, nem a magyar készüléktulajdonosokra vonatkozó kötelezettség.
A hiba CVSS szerinti súlyossága 8,8, ami magas besorolást jelent. Ez a műszaki súlyosságot jelzi; a tényleges támadásokat külön a KEV-bejegyzés és a kihasználásról szóló beszámoló támasztja alá.
Az újabb rendszerek szeptemberben kapták meg ugyanezt a védelmet
A korábbi javítás az iOS 26.7.1, az iPadOS 26.7.1, a macOS Tahoe 26.7.1 és a macOS Sequoia 15.8.1 kiadásban jelent meg. A mostani hír tehát nem egy újonnan felfedezett problémáról szól: ugyanennek a sérülékenységnek a javítását tették elérhetővé régebbi iPhone és iPad készülékeken is.
Az ügy eddig
- Az iPhone XS és XR is javítást kapott a célzott támadásokban kihasznált Apple-hibára (ez a cikk)
- Már javított mobilos hibákat használt ki az APT29-hez kötött kampány
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum