Компанії Apple довелося терміново відреагувати на проблему безпеки, що вплинула на її мобільну операційну систему. Компанія випустила екстрене оновлення, щоб виправити вразливість у графічному движку , яку вже використовували зловмисники. Уразливість, ідентифікована як CVE-2026-86950, розташована в CoreGraphics, компоненті, відповідальному за рендеринг інтерфейсу та візуальних елементів на iPhone, iPad та Mac. За даними Apple, атака була спрямована на конкретних осіб, які використовували дуже складний метод , а не на широку публіку.
Ця новина з'явилася у критичний момент, оскільки переважна більшість користувачів ще не оновилися до останньої версії операційної системи. Фактично, майже чотири з п'яти активних iPhone все ще працюють на iOS 26 , згідно з даними, які сама Apple надає розробникам. Це означає, що величезна частина парку пристроїв Apple опиниться під загрозою, якщо патч не буде застосовано якомога швидше. Оновлення виправляє вразливість в iOS, iPadOS та macOS, хоча джерела, з якими проводилися консультації, не дійшли згоди щодо точного номера версії, тому рекомендується вручну перевірити налаштування пристрою.
Що саме робить цей недолік і чому він небезпечний?
CoreGraphics — це не другорядний елемент системи. Це рівень, який керує практично всім, що відображається на екрані , включаючи вміст наскрізно зашифрованих програм, таких як WhatsApp, Signal та iMessage. Експлойт, якому вдається проникнути на цей рівень, може захопити дані, перш ніж вони досягнуть зашифрованого каналу, що зробить захист зв'язку неефективним. Саме тому виробники шпигунських програм готові платити мільйони доларів за вразливості такого типу.
У попередженні Apple атаку описує як надзвичайно складну та цілеспрямовану . Саме таку формулювання компанія зазвичай використовує, коли вразливість експлуатується групами цифрових найманців або державними службовцями проти журналістів, активістів, керівників чи державних службовців. Таким чином, це не масова кампанія проти звичайних користувачів, але потенційний ризик залишається дуже високим через велику кількість пристроїв, які ще не оновлені.
Друга помилка нульового кліку, яку також виправили
Окрім CVE-2026-86950, Apple довелося зіткнутися з ще однією не менш серйозною вразливістю безпеки: CVE-2026-86869. Ця вразливість без натискання кнопки активується автоматично, коли користувач просто отримує підроблене повідомлення iMessage. Бельгійська компанія з кібербезпеки ironPeak опублікувала технічний аналіз, у якому детально описано, як ця вразливість може обійти BlastDoor, захист, розроблений Apple для ізоляції шкідливого коду в середовищі iMessage.
Цей другий баг був виправлений Apple з випуском iOS 27, і компанія приписала його відкриття Нільсу Хофмансу з ironPeak, а також дослідникам безпеки з Meta, які підтвердили висновки. Немає публічного підтвердження того, що цей конкретний баг використовувався в реальних атаках до його виправлення, хоча його принцип «нульового кліку» робить його дуже затребуваним інструментом на ринку шпигунських програм.
Роль Мети та контекст ринку нульового дня
Примітно, що команда з безпеки продуктів Meta була відповідальна за виявлення основної вразливості CVE-2026-86950. Компанія, очолювана Марком Цукербергом, перебувала під пильною увагою через інші проблеми, пов'язані з конфіденційністю, але її дослідники безпеки неодноразово демонстрували свою здатність знаходити критичні недоліки в системах інших компаній. Пошук помилок та захист даних – це дві різні діяльності , і важливо не змішувати їх під час оцінки надійності технічної команди.
Ринок нульового дня оцінюється в мільярди доларів щорічно та функціонує майже в повному регуляторному вакуумі. Уряди, компанії-розробники шпигунського програмного забезпечення та злочинні групи платять дослідникам набагато більше, ніж пропонує програма винагороди за виявлення вразливостей Apple. Цикл повторюється: вразливість виявлено, випущено патч, і виробники шпигунського програмного забезпечення негайно шукають наступний . Поки ця екосистема продовжує функціонувати з поточними стимулами, залишати вашу операційну систему без патчів буде поганою ідеєю.
Рекомендація для користувачів чітка: перевірте версію iOS або iPadOS у налаштуваннях пристрою та якомога швидше встановіть екстрене оновлення, випущене Apple. Якщо на вашому пристрої вже встановлено iOS 27, ризик зникає, але все одно рекомендується переконатися, що у вас встановлена остання доступна версія. Для тих, хто все ще користується iOS 26, патч є єдиним практичним захистом від вразливості, яка вже була використана в реальному світі . Це не має на меті викликати тривогу, але важливо серйозно поставитися до загрози, яка, хоча й спрямована на конкретних користувачів, залишає вразливість відкритою на мільйонах пристроїв.
