Более 120 исправлений вошли в обновления iOS 27 и iPadOS 27: безопасность iOS 27 в этот раз выглядит не как скучная строка в настройках, а как большой список закрытых дыр в ядре, медиастеке, Bluetooth, Keychain и механизмах приватности. Для разработчиков, корпоративных админов и команд с парком Apple-устройств это простой сигнал: апдейт лучше не откладывать до «после релиза, когда всё успокоится».
Apple опубликовала состав security-исправлений для iOS 27 и iPadOS 27, сообщает 9to5Mac. Обновления вышли 14 сентября 2026 года вместе с пачкой патчей для macOS 27, macOS 26.7, macOS 15.8, Safari и Xcode. В списке для мобильных ОС компания указывает устройства от iPhone 11 и новее, а также iPad Pro 12,9 дюйма начиная с 4-го поколения, iPad Pro 11 дюймов начиная со 2-го поколения, iPad Air с 4-го поколения, iPad с 9-го поколения и iPad mini с 6-го поколения.
Главная цифра — больше 120 исправлений. По описаниям Apple, часть уязвимостей могла позволять вредоносным приложениям выполнять произвольный код, получать привилегии ядра или root, обходить системные ограничения, читать чувствительные данные пользователя и нарушать работу системы. Это не один громкий баг с красивым названием и логотипом, а типичный для крупных ОС набор проблем: где-то переполнение, где-то use-after-free, где-то слабая проверка прав, где-то слишком доверчивый обработчик файлов или медиаконтента.
Самые неприятные классы ошибок находятся там, где их и ждёшь. В APFS закрыта проблема, при которой приложение могло вызвать аварийное завершение системы или запись в память ядра. В AVEVideoEncoder Apple исправила несколько уязвимостей, включая race condition, который мог дать sandboxed-приложению выполнение кода с привилегиями ядра. В CoreMedia обработка специально подготовленного изображения могла привести к выполнению произвольного кода, а отдельные ошибки в CoreMedia затрагивали обход sandbox-ограничений и падения при обработке видео.
Отдельный пласт — приватность и идентификаторы. В Accessibility исправлены проблемы, из-за которых приложение могло получить чувствительные пользовательские данные или определить, какие другие приложения установлены на устройстве. В Accounts закрыт обход настроек приватности. В App Store, AuthKit и CloudKit фигурируют сценарии чтения persistent account identifier, то есть устойчивого идентификатора аккаунта. Для обычного пользователя это звучит абстрактно, но для рекламной аналитики, фингертинтинга и корпоративного комплаенса такие мелочи быстро превращаются в вполне практичную головную боль.
В списке есть и более «физические» поверхности атаки. В Baseband Apple исправила ошибки, при которых атакующий в радиусе радиосвязи мог вызвать неожиданное завершение работы системы, а удалённый атакующий — спровоцировать отказ в обслуживании. В Bluetooth закрыты баги, связанные с потенциальным выполнением произвольного кода, несанкционированным доступом к Bluetooth и аварийным завершением приложений. Для MDM-команд это хороший повод проверить политики обновления не только на телефонах топ-менеджеров, но и на iPad в переговорках, киосках, складах и полевых сценариях.
Есть несколько исправлений, которые особенно интересны разработчикам приложений под экосистему Apple. В Authentication Services устранена проблема, позволявшая приложению удалять учётные данные из Keychain. В Apple Account исправлена ошибка в потоке Sign in with Apple, потенциально открывавшая доступ к Apple Account пользователя. В Camera закрыт доступ к чувствительным данным, в CoreMotion — доступ к данным движения с наушников без согласия пользователя, в CoreML — доступ sandboxed-приложения к ограниченным файлам. Все эти пункты напоминают: permission model в мобильной ОС — не магический щит, а сложный набор проверок, который постоянно приходится чинить.
Любопытная деталь списка — имена исследователей и команд. Среди авторов находок упомянуты Meta Red Team X, Baidu Security, KAIST SysSec Lab, Positive Technologies, Appknox, Blackwing Intelligence, а также независимые исследователи вроде Sindre Sorhus, Ilya Andr, Peter Malone и других. В одном из пунктов AVEVideoEncoder Apple указала Calif.io «в сотрудничестве с Claude и Anthropic Research». Это не повод объявлять эру полностью автономного багхантинга, но ещё один маркер: ИИ-инструменты уже попадают в цепочку поиска уязвимостей, пусть и рядом с людьми, а не вместо них.
Для бизнеса практический вывод короткий: безопасность iOS 27 — это не только про личные iPhone сотрудников. Если компания использует iPad как POS-терминалы, устройства для курьеров, панели управления или рабочие планшеты, задержка с обновлением увеличивает окно риска. Особенно когда в патче есть ядро, baseband, Bluetooth, Keychain, Sign in with Apple и обработчики медиафайлов. Разработчикам стоит прогнать регрессионные тесты приложений на iOS 27 и iPadOS 27, но сам факт большого security-релиза делает аргумент «подождём пару недель» менее комфортным.
Большие сентябрьские релизы Apple всё чаще выглядят как два продукта одновременно: новые функции для пользователей и массивная уборка в фундаменте платформы. Вопрос теперь не в том, будут ли такие списки уязвимостей длинными, а в том, насколько быстро компании научатся превращать их из новостного шума в понятный процесс обновлений, тестирования и контроля устройств.