Apple 2026. szeptemberi iOS-, iPadOS-, macOS- és visionOS-biztonsági frissítései: egy kihasznált hiba két hibajavítást tesz szükségessé

A kiadás röviden

Az Apple 2026. szeptemberi, iOS és iPadOS, macOS, valamint visionOS rendszerekhez kiadott biztonsági frissítései két, az olvasóink szempontjából is releváns sérülékenységet érintenek. Az egyik magas besorolású, CVSS 3.1 szerinti pontszáma 8,8; a másikhoz nem adtak CVSS-pontszámot. A CVE-2026-86950 azonosítójú, magas besorolású hibát a nyilvántartások kihasználtként jelzik: a CISA 2026. szeptember 29-én felvette a Known Exploited Vulnerabilities (KEV) katalógusába, a bejegyzés szerinti határidő 2026. október 13., az ENISA EUVD 2026. szeptember 29-e óta jegyzi a kihasználást, az Apple pedig közlése szerint tudomással bír egy jelentésről, amely szerint a hibát rendkívül kifinomult, célzott támadásban kihasználhatták konkrét, célzottan kiválasztott személyek ellen, az iOS 27-nél korábbi iOS-verziókon.

Mindkét sérülékenységhez elérhető javítás. A CVE-2026-86950 az iOS és iPadOS, valamint a macOS rendszereket érinti; a CVE-2026-86990 az iOS és iPadOS, a macOS és a visionOS rendszereket érinti. A második hiba nem szerepel a CISA KEV-ben, és a nyilvántartások szerint nem jeleznek hozzá kihasználást.

A legfontosabbak

iOS és iPadOS: két sérülékenység. A CVE-2026-86950 egy határon kívüli írás, amelyet a határellenőrzés javításával orvosoltak. Egy rosszindulatúan kialakított fájl feldolgozása tetszőleges kód futtatásához vezethet. A hiba CVSS 3.1 szerinti pontszáma 8,8 (magas), és ez az egyetlen ismerten kihasznált probléma ebben a frissítéscsomagban; ehhez a hibához külön riasztás található ezen a webhelyen. Érintettek a 18.7.11 és a 26.7.1 előtti verziók. A CVE-2026-86990 hozzáférési probléma, amelyet a hozzáférési korlátozások szigorításával javítottak: egy rosszindulatú alkalmazás felhasználói engedély nélkül hozzáférhet a kamerához. Nem adtak meg CVSS-pontszámot vagy CWE-azonosítót, és kihasználást sem rögzítettek. Érintettek a 18.7.11, a 26.7.2 és a 27.2 előtti verziók.

macOS: a CVE-2026-86950 a 15.8.1 és a 26.7.1 előtti verziókat érinti. A CVE-2026-86990 a 26.7.2 és a 27.2 előtti verziókat érinti.

visionOS: csak a CVE-2026-86990 érint, mégpedig a 27.2 előtti verziókat.

Javítási sorrend

1. Először a CVE-2026-86950-hez kiadott javításokat telepítse. Erről a kihasznált, határon kívüli írásról van szó. Telepítse az iOS 18.7.11 és iPadOS 18.7.11, az iOS 26.7.1 és iPadOS 26.7.1, a macOS Sequoia 15.8.1 és a macOS Tahoe 26.7.1 verziókat. A CISA KEV bejegyzésében szereplő határidő 2026. október 13.
2. Telepítse a CVE-2026-86990-hez kiadott javításokat is. Telepítse az iOS 18.7.11 és iPadOS 18.7.11, az iOS 26.7.2 és iPadOS 26.7.2, az iOS 27.2 és iPadOS 27.2, a macOS Tahoe 26.7.2, a macOS Golden Gate 27.2 és a visionOS 27.2 verziókat. Ehhez a kamerához való hozzáférést érintő hibához nem adtak CVSS-pontszámot, és a nyilvántartások nem jeleznek kihasználást.

A javításon túl

Egy ilyen frissítés esetén a döntés egyszerű: először a kihasznált, határon kívüli írás javítását telepítse, majd a kamerához való hozzáférést érintő hiba javítását. Mivel a CISA KEV, az ENISA EUVD és az Apple már kihasználtként tartják nyilván a hibát, az észlelés és a reagálás jelenti az első védelmi vonalat, amíg a biztonsági javítások telepítése zajlik. A Menedzselt kiberbiztonsági felügyelet (MDR) szolgáltatásunk segíthet az érintett platformokon tapasztalható szokatlan tevékenységek figyelésében, az incidenskezelési készenléti szerződés pedig gyakorlati módja annak, hogy készenlétben álló támogatás álljon rendelkezésre, ha a javítás befejezése előtt támadás gyanúja merül fel.