Apple закрыла эксплуатируемую уязвимость CoreGraphics в старых iPhone и iPad
Apple выпустила iOS 18.7.11 и iPadOS 18.7.11 для поддерживаемых устройств прошлых поколений. Обновления устраняют CVE-2026-86950 в CoreGraphics с оценкой CVSS 8,8: уязвимость уже применялась в сложных атаках против отдельных выбранных пользователей устройств с версиями iOS до iOS 27.
Ошибка в обработке файлов
CVE-2026-86950 связана с записью за границы выделенной памяти в CoreGraphics. При обработке специально подготовленного файла дефект мог привести к выполнению произвольного кода.
Apple сообщила, что знает об отчёте об использовании проблемы в чрезвычайно сложной атаке против конкретных целей. Компания впервые выпустила исправления в прошлом месяце: они вошли в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.
Теперь исправление перенесено в ветку iOS 18. Оно доступно для iPhone XS, iPhone XS Max и iPhone XR, iPad 7-го поколения, iPad Air 4-го поколения и новее, iPad 9-го поколения и новее, а также iPad mini 6-го поколения и новее.
Ещё два исправления для мобильных устройств
В iOS 18.7.11 и iPadOS 18.7.11 также закрыта логическая ошибка Audio, зарегистрированная как CVE-2026-65339. Вредоносное приложение могло использовать её для раскрытия конфиденциальной информации пользователя.
Третья проблема, CVE-2026-86990, затрагивает CoreMedia. Она позволяла вредоносному приложению получить доступ к камере без разрешения пользователя.
Контекст новых релизов Apple
Одновременно Apple распространила iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 и Safari 27.2. В этих версиях исправлены сотни уязвимостей, в том числе в AppleAVD, CoreAudio, ImageIO, ядре, Model I/O, Screen Sharing Server, Spotlight, StorageKit и WebKit.
Среди них Apple выделила CVE-2026-86987 — проблему авторизации в Apple Intelligence. Удалённый атакующий мог получить доступ к чувствительным пользовательским данным; для iOS и iPadOS компания усилила проверку прав доступа.
Что учитывать организациям
Apple не сообщала об эксплуатации остальных ошибок из новых выпусков, но CVE-2026-86950 уже использовалась в атаках. Организациям стоит проверить, что управляемые iPhone и iPad на ветке iOS 18 получили версии 18.7.11, а устройства на актуальных ветках — последние доступные обновления.
Особое внимание требуется моделям, которые продолжают работать в парке как резервные или специализированные устройства: перенос исправления показывает, что поддерживаемая старая ветка ОС также нуждается в регулярном контроле обновлений.