Apple 2026. októberi biztonsági frissítései iOS-hez, iPadOS-hez, macOS-hez és visionOS-hez: 119 javítás, a legkritikusabbak a Safari kódfuttatási hibái

A kiadás röviden

Az Apple 2026. október 26-án adta ki az októberi biztonsági frissítéseit. A kiadás az olvasóinkat érintő 119 CVE-t fed le: 93 érinti az iOS-t és az iPadOS-t, 26 pedig a Safarit. Az Apple ötöt magas súlyosságúra, kilencet közepes súlyosságúra értékel, 105-öt pedig pontszám nélkül hagy. A kiadásban szereplő egyik CVE sem szerepel a CISA ismert kihasznált sérülékenységeket tartalmazó katalógusában (Known Exploited Vulnerabilities, KEV).

Az öt magas súlyosságú probléma mind a Safarit és a WebKitet érinti: négy felszabadítás utáni memóriahasználati hiba és egy típuszavar-hiba rosszindulatúan kialakított webes tartalom feldolgozásakor tetszőleges kódfuttatáshoz vezethet. A javítások az alábbi verziókban érhetők el: Safari 27.2, iOS 26.7.2 és iPadOS 26.7.2, iOS 27.2 és iPadOS 27.2, macOS Golden Gate 27.2, valamint visionOS 27.2. Két hiba a tvOS 27.2 és a watchOS 27.2 verzióban is javítva van.

A legfontosabbak

Safari és WebKit. A CVE-2026-112623, a CVE-2026-112626, a CVE-2026-112651 és a CVE-2026-112655 felszabadítás utáni memóriahasználati hiba; a CVE-2026-112659 pedig típuszavar. Mind az öt 8,8-es magas besorolású, a támadási vektor hálózati, a kihasználás nem igényel jogosultságot, felhasználói interakcióra viszont szükség van. Emiatt ezek a hibák nem érik el a hitelesítés nélkül, féregszerűen terjedő kihasználások szintjét, de elsőként kell kezelni őket, mert a Safari és a WebKit széles körben elterjedt. A javítások az alábbiakban érhetők el: Safari 27.2, iOS 26.7.2 és iPadOS 26.7.2, iOS 27.2 és iPadOS 27.2, macOS Golden Gate 27.2, valamint visionOS 27.2. A CVE-2026-112626 és a CVE-2026-112655 emellett a tvOS 27.2 és a watchOS 27.2 verzióban is javítva van.

Kép- és alkalmazáskezelés iOS, iPadOS és macOS rendszereken. A legfontosabb közepes súlyosságú tételek a következők: a CVE-2026-112415 határokon kívüli írási hiba, amely lehetővé teheti egy alkalmazás számára a rendszer váratlan leállását vagy a folyamatmemória megsérülését; a CVE-2026-112614 határokon kívüli írási hiba rosszindulatúan kialakított kép feldolgozásakor, amely az alkalmazás váratlan leállásához vezethet; a CVE-2026-113913 pedig bemeneti adatok ellenőrzésének hibája, amely webes tartalom feldolgozásakor kényes adatokat fedhet fel. Mindhárom 6,5-es közepes besorolású, és a következő verziókban javították: iOS 26.7.2 és iPadOS 26.7.2, valamint iOS 27.2 és iPadOS 27.2. A CVE-2026-112415 és a CVE-2026-113913 javítva van a macOS Golden Gate 27.2, a macOS Sequoia 15.8.2, a macOS Tahoe 26.7.2 és a visionOS 27.2 verzióban. A CVE-2026-112614 javítva van a macOS Golden Gate 27.2 és a macOS Tahoe 26.7.2 verzióban.

Javítási sorrend

1. Először a WebKit-kockázatot javítsa. Telepítse a Safari 27.2, az iPhone-hoz az iOS 27.2 vagy iOS 26.7.2, az iPadhez az iPadOS 27.2 vagy iPadOS 26.7.2, továbbá a macOS Golden Gate 27.2 és a visionOS 27.2 verziót. Ezek lezárják a Safari öt nagy súlyosságú, tetszőleges kódfuttatást lehetővé tevő hibáját.
2. Javítsa a régebbi macOS-ágakat. Azokon a Maceken, amelyek nem tudnak macOS Golden Gate 27.2-re frissíteni, telepítse a macOS Tahoe 26.7.2 vagy a macOS Sequoia 15.8.2 verziót, a helyzettől függően, a képfeldolgozási és bemenet-ellenőrzési hibák megszüntetéséhez.
3. Frissítse az Apple TV-t és az Apple Watch-ot tvOS 27.2, illetve watchOS 27.2 verzióra, ott, ahol ezek az eszközök érintettek, hogy lefedje a CVE-2026-112626 és a CVE-2026-112655 azonosítójú sérülékenységeket.
4. Ezután végezze el a többi Apple-frissítést. A kiadás 93 iOS- és iPadOS-CVE-t, valamint 26 Safari-CVE-t fed le; a legtöbb pontszám nélküli, és egyikhez sincs CISA KEV-határidő, ezért kövesse a szokásos frissítési ciklust, és ellenőrizze a verziókat.

A javításon túl

A következő hónapban ugyanez a dinamika ismétlődik meg: nagy tételű memóriabiztonsági javítás érkezik az Apple platformjaira, a legtöbb pontszám nélküli, és egyik sem szerepel a CISA KEV-listáján. A vezetési feladat annak ismerete, hogy mely eszközök maradtak le, és a frissítést még azelőtt telepítsék, hogy a következő kiadás megváltoztatná a kiindulási állapotot. A Menedzselt kiberbiztonsági felügyelet (MDR) a WebKit kódfuttatási sérülékenységek osztályához illeszkedik, mert ha rosszindulatú tartalmat nyitnak meg, az EDR és a SIEM látják a támadó további tevékenységét. Az Ellátási lánc védelem és harmadik felek kockázatai a javítási ciklus problémájához illeszkedik: az Apple olyan szállító, amelynek kiadási üteme határozza meg az Ön kitettségi időablakát.