Apple 2026. októberi biztonsági frissítései iOS-hez és iPadOS-hez, macOS-hez és visionOS-hez: 39 javítás, köztük egy súlyos WebKit-hiba

A kiadás röviden

Az Apple 2026. október 26-án tette közzé az iOS-re és iPadOS-re, macOS-re és visionOS-re vonatkozó biztonsági frissítéseket, amelyek 39 CVE-t fednek le. Az Apple egy CVE-t súlyosnak minősít, 38-at pedig pontszám nélkül hagy. Egyik hibát sem jelölik kihasználtként, és egyik sem szerepel a CISA KEV-katalógusában. A kiadás 32 iOS-t és iPadOS-t érintő CVE-t, továbbá 7 Safarit érintő CVE-t tartalmaz.

A legfontosabbak

Safari és WebKit. A CVE-2026-112637 az egyetlen CVSS-pontszámmal rendelkező sérülékenység a kiadásban, 8,8-as súlyos besorolással. A WebKitben található use-after-free hibáról van szó: a rosszindulatúan kialakított webes tartalom feldolgozása tetszőleges kódfuttatáshoz vezethet. A hibát a Safari 27.2, az iOS és iPadOS 27.2, a macOS Golden Gate 27.2, a tvOS 27.2, a visionOS 27.2 és a watchOS 27.2 javítja.

iOS és iPadOS. A többi, kiemelten fontos hiba kihasználásához vagy privilegizált hálózati pozíció, vagy helyi kódfuttatás szükséges; ezek azonban az eszköz- és identitáskezelés szempontjából továbbra is fontosak. A CVE-2026-112518 aláírás-ellenőrzési gyengeség, amely lehetővé teheti, hogy egy privilegizált hálózati pozícióban lévő támadó Kerberos KDC-nek adja ki magát; a hibát az iOS és iPadOS 27.2, a macOS Golden Gate 27.2, a tvOS 27.2, a visionOS 27.2 és a watchOS 27.2 javítja. A CVE-2026-112459 olyan versenyhelyzet, amellyel egy alkalmazás leállíthatja a rendszert vagy megsértheti a kernelmemóriát; a javítás az iOS és iPadOS 27.2, a macOS Golden Gate 27.2, a tvOS 27.2 és a watchOS 27.2 verzióban érhető el. A CVE-2026-112507 out-of-bounds írási hiba, amely csak az iOS-t és az iPadOS-t érinti, és ugyancsak kernelmemóriába történő írást eredményezhet. A CVE-2026-112567 révén egy rosszindulatú alkalmazás megkerülheti az Adatvédelem beállításait, a CVE-2026-112500 pedig a Hide My Email funkció használatakor a felhasználó eredeti e-mail-címének kiszivárogtatásához vezethet. A CVE-2026-112432 naplózási hiba, amely lehetővé teheti egy alkalmazás számára érzékeny felhasználói adatok elérését. A CVE-2026-112595 lehetővé teszi, hogy fizikailag a közelben tartózkodó támadó rosszindulatú hálózati forgalmat hozzon létre, és hozzáférjen egy Thread-hálózathoz.

Javítási sorrend

1. Először a WebKit-hiba javítását telepítse. Frissítse a Safarit 27.2-re, az iOS-t és iPadOS-t 27.2-re, a macOS-t Golden Gate 27.2-re, a tvOS-t, a visionOS-t és a watchOS-t pedig 27.2-re, hogy lezárja a CVE-2026-112637 hibát, amely a kiadás egyetlen súlyos besorolású sérülékenysége és egyetlen WebKithez köthető kódfuttatási hibája.
2. Ezt követően az identitást és a helyi hálózati hozzáférést érintő javításokat telepítse. A CVE-2026-112518 (Kerberos KDC megszemélyesítése) javítását az iOS és iPadOS 27.2, a macOS Golden Gate 27.2, a tvOS 27.2, a visionOS 27.2 és a watchOS 27.2 tartalmazza. A CVE-2026-112595 (Thread-hálózati hozzáférés) javítását az iOS és iPadOS 27.2, a macOS Golden Gate 27.2 és a tvOS 27.2 tartalmazza.
3. Ezután térjen át a kernel- és adatvédelmi javításokra. Az iOS és iPadOS 27.2 telepítésével zárja le a CVE-2026-112459, a CVE-2026-112507, a CVE-2026-112567, a CVE-2026-112500 és a CVE-2026-112432 hibákat. macOS esetén telepítse a Golden Gate 27.2 verziót, a CVE-2026-112567 hibához pedig a Sequoia 15.8.2 vagy a Tahoe 26.7.2 verziót is; a tvOS 27.2, a visionOS 27.2 és a watchOS 27.2 a rájuk vonatkozó kernel- és adatvédelmi hibákat zárja le.
4. Végezze el a teljes frissítési ciklust. Ugyanezek az Apple-kiadások fedik le mind a 39 CVE-t: 32 az iOS-t és az iPadOS-t, 7 pedig a Safarit érinti.

A javításon túl

Ez az Apple szokásos javítási ciklusa: nincs kihasználtként jelölt vagy a KEV-katalógusban szereplő sérülékenység, viszont van egy súlyos WebKit-hiba és számos helyi jogosultsági és adatvédelmi javítás. A feladat kezelhető, ha az Apple frissítési ütemét a saját kitettségi időablaka részeként kezeli. Az Ellátási lánc védelem és harmadik féltől származó kockázat segít nyomon követni, hogy mely Apple-platformokat futtatja, és milyen gyorsan érkezik rájuk a frissítés, a Menedzselt kiberbiztonsági felügyelet (MDR) pedig figyelheti a kódfuttatást vagy a hitelesítő adatokkal való visszaélést, ha bármely nem javított eszközt támadás érne a frissítés befejezése előtt.