Apple выпустила обновления для нескольких поколений старых iPhone и iPad, закрывающие уязвимость CoreGraphics CVE-2026-86950. Брешь уже использовалась в «крайне изощрённых» целевых атаках: для российской IT-аудитории это очередное напоминание, что статус «старое, но ещё работает» не должен означать «можно не обновлять».
Патчи получили iPhone XS, XS Max и XR, iPad седьмого поколения, iPad Air четвёртого поколения и новее, iPad девятого поколения и новее, а также iPad mini шестого поколения и новее. Как сообщает BleepingComputer, Apple ранее устранила ту же проблему в сентябре на более новых версиях своих ОС — iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.
CVE-2026-86950 обнаружила команда Meta Product Security. Ошибка находится в CoreGraphics — системном фреймворке Apple, отвечающем за двухмерную графику, отрисовку текста и изображений. Это не экзотическая библиотека, которую можно безболезненно отключить в корпоративном профиле: компоненты такого уровня участвуют в обработке документов, картинок и других графических данных во множестве приложений.
Технически проблема относится к классу out-of-bounds write: программа записывает данные за пределы выделенного участка памяти. Последствия зависят от конкретной цепочки эксплуатации — от аварийного завершения приложения и порчи данных до выполнения произвольного кода. Apple предупреждает, что обработка специально подготовленного файла способна привести именно к выполнению кода на устройстве. Исправление свелось к усиленной проверке границ, но важнее другое: злоумышленнику достаточно добиться обработки вредоносного файла, а не обязательно уговорить жертву установить отдельное приложение.
Формулировка Apple про атаки на «конкретных целевых лиц» не означает, что риск стоит игнорировать. Такие уязвимости часто применяют в шпионских операциях, где ценность представляет не массовый охват, а доступ к переписке, документам, учётным данным и рабочему устройству конкретного сотрудника. В группе риска оказываются руководители, разработчики с доступом к инфраструктуре, сотрудники финансовых и кадровых служб, а также владельцы администраторских аккаунтов.
Для компаний, где iPhone и iPad подключены к корпоративной почте, VPN, системам управления устройствами или облачным хранилищам, обновление следует рассматривать как обычную операционную задачу, а не как личный выбор пользователя. Имеет смысл проверить, какие модели всё ещё находятся в парке, какая версия ОС на них установлена и не застряли ли устройства на отложенном канале обновлений. Отдельно стоит сверить правила управления мобильными устройствами: они не должны блокировать установку доступных исправлений безопасности без понятной причины и срока.
Для мобильных разработчиков история полезна и с другой стороны. Уязвимость CoreGraphics затрагивает базовый уровень обработки графики, поэтому нельзя рассчитывать, что тщательная проверка входных данных только в коде приложения полностью снимает системный риск. Защита складывается из нескольких слоёв: своевременного обновления ОС, аккуратной работы с файлами из недоверенных источников, минимизации лишних прав у приложений и мониторинга необычной активности учётных записей. Особенно это актуально для сервисов, где сотрудники регулярно открывают присланные изображения, документы и вложения на мобильных устройствах.
Это уже вторая zero-day-уязвимость, которую Apple исправила в 2026 году после сообщений об эксплуатации. В феврале компания закрыла CVE-2026-20700 в dyld — динамическом загрузчике Apple, также связанную с выполнением произвольного кода и целевыми атаками. Ранее Apple выпускала исправления для старых устройств против четырёх уязвимостей, применявшихся в кампаниях кибершпионажа и кражи криптоактивов, а также устраняла серьёзную проблему в Beats Studio Buds, позволявшую атакующему в зоне действия Bluetooth подслушивать разговоры.
Стабильная поддержка старых моделей здесь выглядит хорошей новостью, но она не отменяет неудобного вопроса для IT-отделов: сколько устройств в компании действительно получают патчи в разумный срок? Уязвимость CoreGraphics показывает, почему инвентаризация мобильного парка и дисциплина обновлений становятся частью защиты бизнеса — особенно когда атака рассчитана не на случайного пользователя, а на одного человека с нужным доступом.
