Apple opravil chybu CoreGraphics zneužitelnou při cílených útocích na uživatele iPhonů a Maců

Apple vydal bezpečnostní aktualizace pro iOS, iPadOS a dvě podporované řady macOS, které opravují zranitelnost CVE-2026-86950 v komponentě CoreGraphics. Chyba mohla po zpracování škodlivě upraveného souboru umožnit spuštění libovolného kódu. Apple zároveň uvedl, že má informace o jejím možném zneužití při mimořádně sofistikovaném útoku zaměřeném na konkrétní osoby.

Oprava je součástí aktualizací iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1. Týká se chyby typu out-of-bounds write, kdy aplikace zapisuje data mimo vyhrazenou část paměti. Taková chyba může v závislosti na okolnostech vést ke spuštění útočníkova kódu na napadeném zařízení.

Podle Applu stačí, aby systém zpracoval speciálně připravený škodlivý soubor. Firma nezveřejnila, o jaký typ souboru šlo, jakou cestou se k obětem dostal ani zda útočníci potřebovali k průniku další zranitelnost.

Apple popisuje útok jako cílený a velmi sofistikovaný

Apple uvádí, že zranitelnost mohla být zneužita proti specificky vybraným lidem na verzích iOS před iOS 27. Formulace je podstatná ze dvou důvodů: Zaprvé nejde podle firmy o obecně popsaný scénář hromadného napadání uživatelů. Zadruhé Apple neříká, že má potvrzené všechny detaily útoku, ale hovoří o zprávě, podle níž mohlo ke zneužití dojít.

Oznámení tedy samo o sobě neznamená, že běžní uživatelé čelili rozsáhlé kampani. U veřejně zveřejněné chyby, která umožňuje spuštění kódu při práci se souborem, ale roste význam rychlé instalace oprav. Po vydání aktualizace mohou další útočníci analyzovat změny v kódu a hledat způsob, jak zranitelnost reprodukovat na neaktualizovaných systémech.

Oprava je dostupná i pro dva macOS

Stejné CVE Apple opravil také v macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1. V bezpečnostních přehledech pro všechny uvedené systémy firma popisuje stejnou příčinu i stejný dopad: chybnou kontrolu hranic při práci s pamětí, kterou vyřešila přísnějšími kontrolami.