Apple 2026. szeptemberi biztonsági frissítései: a 98 javítás élén két kritikus macOS-kernelhiba áll

A kiadás röviden

Az Apple 2026. szeptemberi biztonsági frissítései az ebben az összefoglalóban figyelembe vett 98 CVE-t fedik le. Súlyosság szerint a kiadás 2 kritikus, 34 magas, 61 közepes és 1 alacsony besorolású hibát tartalmaz. Termékek szerint 95 CVE a macOS-t, 2 az iOS-t és az iPadOS-t, 1 pedig az Xcode-ot érinti. A kiadásban szereplő egyik CVE-t sem jelölték kihasználtként, és egyik sem szerepel a CISA KEV listáján. A legsürgősebb hibák a két kritikus macOS-kernelhiba; ezek hálózati támadási vektorral rendelkeznek, és kihasználásuk nem igényel jogosultságot vagy felhasználói beavatkozást. Az Apple közzétette a javításokat; a teljes lista az Apple kiadási oldalán érhető el.

A legfontosabbak

A kiadás legfontosabb CVE-i mind a macOS-t érintik.

• A CVE-2026-84520 kritikus puffertúlcsordulás; a hiba javítása jobb méretellenőrzést vezet be. A javítás a macOS Golden Gate 27 verzióban érhető el. A CVE CVSS-vektora hálózati, és nem igényel jogosultságot vagy felhasználói beavatkozást; az Apple lehetséges következményként a rendszer leállását vagy a kernelmemória megsérülését említi.
• A CVE-2026-43790 kritikus memóriakezelési hiba, amelyet a macOS Golden Gate 27, a macOS Sequoia 15.8 és a macOS Tahoe 26.7 verzióban javítottak. Egy távoli támadó váratlan rendszerleállást okozhat, vagy megsértheti a kernelmemóriát.
• A CVE-2026-43692 és a CVE-2026-65374 magas súlyosságú. A CVE-2026-43692 ellenőrzési hibát a macOS 27, 15.8 és 26.7 verzióban javították; egy távoli felhasználó egy alkalmazás váratlan leállását vagy tetszőleges kódfuttatást okozhat. A CVE-2026-65374 memóriasérülési hiba, amelyet rosszindulatú WebDAV-kiszolgálóhoz való csatlakozás vált ki; ezt a hibát szintén ebben a három verzióban javították.
• A CVE-2026-84512 magas súlyosságú puffertúlcsordulás, amelyet a macOS 27, 15.8 és 26.7 verzióban javítottak; egy rosszindulatúan kialakított lemezkép csatlakoztatása rendszerleállást okozhat, vagy megsértheti a kernelmemóriát.
• A CVE-2026-65381, a CVE-2026-84578, a CVE-2026-84580, a CVE-2026-84584, a CVE-2026-84535 és a CVE-2026-84577 magas súlyosságú sandbox-kikerülési vagy hozzáférési hibák. A javított verziók eltérnek: a többség a macOS 27, 15.8 és 26.7 verzióban javított; a CVE-2026-84584 csak a macOS 27 verzióban, a CVE-2026-84577 pedig a macOS 26.7 és 27 verzióban.

Javítási sorrend

1. Először a két kritikus macOS-kernelhibát javítsa: a CVE-2026-84520 és a CVE-2026-43790 azonosítójút. CVSS-pontszámuk 9,8, illetve 9,1; hálózati támadási vektorral rendelkeznek, és nem igényelnek jogosultságot vagy felhasználói beavatkozást. A CVE-2026-43790 esetében frissítsen macOS Sequoia 15.8, macOS Tahoe 26.7 vagy macOS Golden Gate 27 verzióra; a CVE-2026-84520 esetében macOS Golden Gate 27 verzióra.
2. Ezután javítsa a magas súlyosságú, távoli kódfuttatást lehetővé tevő hibákat, a CVE-2026-43692 és a CVE-2026-65374 azonosítójút; a javítás a macOS Golden Gate 27, a macOS Sequoia 15.8 és a macOS Tahoe 26.7 verzióban érhető el. Ezek felhasználói beavatkozást igényelnek, de tetszőleges kódfuttatáshoz vezethetnek.
3. Ezután javítsa a többi magas súlyosságú macOS-hibát, különösen a sandbox-kikerülési és a rosszindulatú lemezképpel kapcsolatos hibákat: a CVE-2026-65381, a CVE-2026-84512, a CVE-2026-84578 azonosítójú hibákat, illetve az ugyanabban a frissítésben javított kapcsolódó sandbox-kikerülési CVE-ket. A javított verziók eltérnek; az Apple kiadási oldalán találja őket.
4. Végül a közepes és alacsony súlyosságú javításokat a szokásos javítási ciklusa részeként telepítse a macOS, az iOS és az iPadOS, valamint az Xcode esetében. A kiadás egyetlen CVE-je sem szerepel a CISA KEV listáján, és egyiket sem jelölték kihasználtként, ezért a priorizálás a súlyosságon és a kitettségen alapul.

A javításon túl

Az Apple szeptemberi frissítése nagy terjedelmű, de áttekinthető kiadás: a legnagyobb kockázatot két hálózatról elérhető macOS-kernelhiba jelenti, a többi tétel pedig nagyrészt széles körű macOS-, iOS- és Xcode-javítás. A következő hónapra készítsen elő kitettségi adatokat, hogy a javítások priorizálása előtt azonosítani tudja, mely Mac eszközök érhetők el; a Virtuális CISO szolgáltatás (vCISO) segíthet ennek a kitettségi képnek a kialakításában. Ha kódfuttatást vagy sandbox-kikerülést kísérelnek meg, a Menedzselt kiberbiztonsági felügyelet (MDR) biztosítja a szükséges észlelési és válaszadási nyomvonalat.