Apple исправила использовавшуюся в атаках 0-day-уязвимость в CoreGraphics
Разработчики Apple выпустили обновления для iOS, iPadOS и macOS, устранив уязвимость нулевого дня CVE-2026-86950. Причем этот баг в CoreGraphics уже мог использоваться в «чрезвычайно сложных» целевых атаках, направленных на отдельных пользователей iPhone.
Сообщается, что проблему обнаружили специалисты Meta Product Security (деятельность компании Meta признана экстремистской и запрещена в России). CVE-2026-86950 представляет собой ошибку out-of-bounds записи в CoreGraphics — системном фреймворке Apple, который применяется для отрисовки графики, изображений и текста.
По данным разработчиков, обработка специально подготовленного вредоносного файла могла привести к выполнению произвольного кода на уязвимом устройстве, и проблему устранили, добавив дополнительные проверки границ памяти.
«Apple известно о том, что эта проблема могла применяться в чрезвычайно сложных атаках против конкретных целей, использующих iOS вплоть до версии iOS 27», — говорится в бюллетене безопасности компании.
Каких-либо подробностей о возможных атаках в компании пока не раскрывают. Так, в Apple не уточняют, кто именно подвергся атакам, сколько было пострадавших, удалось ли злоумышленникам успешно скомпрометировать их устройства, и когда началась эксплуатация CVE-2026-86950. Судя по формулировкам в бюллетене, речь идет не о массовой кампании, а о точечных атаках на отдельных пользователей.
Патчи для 0-day-уязвимости вошли в iOS 26.7.1 и iPadOS 26.7.1. Эти обновления предназначены для iPhone 11 и новее, iPad Pro 12,9 дюйма третьего поколения и новее, iPad Pro 11 дюймов первого поколения и новее, iPad Air третьего поколения и новее, iPad восьмого поколения и новее, а также iPad mini пятого поколения и новее. Кроме того, исправление уже доступно в составе macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.
Отметим, что 29 сентября 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило CVE-2026-86950 в каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV), а федеральным ведомствам США предписали установить патчи до 2 октября.
