CoreGraphics flaw i shfrytëzuar korrigjohet në iPhone dhe iPad më të vjetër
CoreGraphics flaw, një dobësi në framework-un e Apple për përpunimin e grafikës, tani është korrigjuar në më shumë modele të vjetra iPhone dhe iPad përmes iOS 18.7.11 dhe iPadOS 18.7.11. Apple i publikoi përditësimet të hënën si një backport, që do të thotë se një korrigjim sigurie, i publikuar fillimisht për software më të ri, është përshtatur për versione më të vjetra që ende mbështeten. Apple thotë se cenueshmëria mund të jetë përdorur në një sulm jashtëzakonisht të sofistikuar kundër individëve të shënjestruar në mënyrë specifike.
E regjistruar si CVE-2026-86950, cenueshmëria me rrezikshmëri të lartë ka vlerësimin 8.8 sipas Common Vulnerability Scoring System (CVSS), në shkallën standarde me 10 pikë. Ajo është një out-of-bounds write, një gabim që mund t'i lejojë software-it të vendosë të dhëna jashtë zonës së memories së rezervuar për to. Si pasojë, përpunimi i një file të krijuar me qëllim keqdashës mund të çojë në arbitrary code execution, që do të thotë se file mund ta detyrojë pajisjen të ekzekutojë komanda të zgjedhura nga një sulmues.
Apple e korrigjoi për herë të parë CVE-2026-86950 muajin e kaluar në iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 dhe macOS Sequoia 15.8.1. Në atë kohë, kompania pranoi se kishte marrë një raport sipas të cilit flaw mund të ishte shfrytëzuar në sulme kundër personave të përzgjedhur që përdornin versione të iOS më të hershme se iOS 27. Apple nuk ka identifikuar ndonjë sulmues dhe nuk ka dhënë informacione të mëtejshme për file-t keqdashës, individët e prekur apo metodën e sulmit, ndaj këto hollësi mbeten të panjohura.
Korrigjimet e zgjeruara në iOS 18.7.11 dhe iPadOS 18.7.11 mbulojnë iPhone XS, iPhone XS Max dhe iPhone XR. Tabletët e mbështetur që renditen për këto përditësime janë iPad i gjeneratës së 7-të, iPad Air i gjeneratës së 4-t dhe modelet pasuese, iPad i gjeneratës së 9-të dhe modelet pasuese, si dhe iPad mini i gjeneratës së 6-të dhe modelet pasuese. Zotëruesit e këtyre pajisjeve duhet të instalojnë përditësimin më të ri që ofrohet përmes cilësimeve të përditësimit të software-it në pajisje, në vend që të supozojnë se një model më i vjetër është jashtë ciklit të patch-eve.
Të dyja përditësimet korrigjojnë gjithashtu dobësi të veçanta në privatësi dhe siguri. CVE-2026-65339 është një problem logjik në Audio që mund t'i lejojë një app-i të zbulojë informacione sensitive të përdoruesit. CVE-2026-86990 është një cenueshmëri e kontrollit të aksesit në CoreMedia, framework-u i Apple për përpunimin e medias, që mund t'i lejojë një app-i keqdashës të përdorë kamerën pa lejen e përdoruesit. Burimi nuk thotë se ndonjëri prej këtyre dy problemeve është shfrytëzuar në sulme reale.
Krahas patch-eve të ofruara si backport, Apple publikoi iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 dhe Safari 27.2. Këto versione trajtojnë qindra cenueshmëri në komponentë që përfshijnë AppleAVD, CoreAudio, ImageIO, kernel, që është pjesa qendrore e një sistemi operativ, Model I/O, Screen Sharing Server, Spotlight, StorageKit dhe WebKit.
Një problem i rëndësishëm në këtë grup më të gjerë është CVE-2026-86987, një dobësi autorizimi në Apple Intelligence. Apple thotë se një sulmues në distancë mund ta shfrytëzojë atë për të marrë të dhëna sensitive të përdoruesit. Kompania e trajtoi problemin në iOS dhe iPadOS duke përmirësuar entitlement checks, kontrollet që përdoren për të konfirmuar nëse software ka leje të përdorë një funksion ose burim të mbrojtur. Apple nuk ka bërë të ditur se kjo cenueshmëri apo flaw-et e tjera në versionet 27.2 po shfrytëzoheshin në sulme reale.
Për zotëruesit e faqeve web dhe ekipet e IT-së, shqetësimi praktik është se telefonat dhe tabletët që përdoren për administrim, komunikim ose akses në sistemet e biznesit vazhdojnë të kërkojnë mirëmbajtje në kohë të sistemit operativ. Për bizneset që kërkojnë mbështetje për këtë përgjegjësi më të gjerë, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi. Prioriteti i menjëhershëm për përdoruesit e prekur është instalimi i përditësimit të disponueshëm të sistemit operativ, sepse CVE-2026-86950 tashmë është lidhur me shfrytëzim në sulme reale dhe mund të aktivizohet përmes përpunimit të një file.