Zero-day Apple CVE-2026-86950: CoreGraphics, deja exploatat

Apple a corectat CVE-2026-86950, o vulnerabilitate în CoreGraphics, framework-ul care gestionează grafica în sistemele sale de operare. Potrivit producătorului, defectul ar fi putut fi deja exploatat într-un atac „extrem de sofisticat” împotriva unor persoane alese cu grijă. Pe 29 septembrie, CISA a inclus-o în catalogul Known Exploited Vulnerabilities (KEV), cu termen până pe 13 octombrie pentru agențiile federale din SUA.

Ce s-a întâmplat

Buletinul de securitate Apple, publicat luni, 28 septembrie, descrie o scriere în afara limitelor memoriei în CoreGraphics. Prin procesarea unui fișier creat special, un atacator poate ajunge la execuția de cod arbitrar pe dispozitiv. Apple a rezolvat problema prin verificări îmbunătățite ale limitelor.

Producătorul declară că are cunoștință de un raport potrivit căruia defectul ar fi fost exploatat împotriva unor persoane anume, pe versiuni de iOS anterioare iOS 27. Nu spune ce versiuni au fost lovite, cine se află în spatele atacurilor, câte persoane au fost implicate și nici cum a fost livrat fișierul. Vulnerabilitatea a fost raportată către Apple de echipa Meta Product Security. Nici Apple, nici Meta nu au publicat alte detalii tehnice.

Detalii tehnice

• CVE: CVE-2026-86950, scriere în afara limitelor (out-of-bounds write, CWE-787) în CoreGraphics. CISA o înregistrează ca vulnerabilitate a „Apple Multiple Products”.
• Efect: execuție de cod arbitrar la procesarea unui fișier malițios.
• Versiuni corectate: iOS 26.7.1 și iPadOS 26.7.1. Potrivit Infosecurity Magazine, corecția a venit și cu macOS Tahoe 26.7.1 și macOS Sequoia 15.8.1. The Register menționează în schimb doar iOS și iPadOS.
• Dispozitive care primesc actualizarea:
  • iPhone 11 și modelele ulterioare;
  • iPad Pro de 12,9 inchi, generația a treia și ulterioare;
  • iPad Pro de 11 inchi, prima generație și ulterioare;
  • iPad Air, generația a treia și ulterioare;
  • iPad, generația a opta și ulterioare;
  • iPad mini, generația a cincea și ulterioare.
• Vector de atac: un fișier creat special. Canalul de livrare (mesaje, atașamente, navigare) nu a fost făcut public.
• MITRE ATT&CK: T1203 (Exploitation for Client Execution) pentru macOS și tehnica echivalentă din matricea Mobile, T1658. Vectorul de intrare nu este cunoscut, așa că tehnica de acces inițial nu poate fi mapată.
• Indicatori de compromitere: niciunul publicat.
• Folosire în ransomware: necunoscută, potrivit CISA.

Contextul

Potrivit The Register, este al șaptelea zero-day corectat de Apple în 2026. Producătorul folosește aceeași formulă, „atac extrem de sofisticat împotriva unor persoane anume”, pentru cazurile de exploatare țintită. În februarie 2025, de exemplu, a folosit-o pentru CVE-2025-24200, descoperită de cercetătorii de la Citizen Lab. Presa observă că, în trecut, vulnerabilități de acest tip au fost legate de furnizori de spyware comercial. Pentru CVE-2026-86950 însă, nicio sursă nu atribuie atacul unui actor sau unui instrument anume.

Infosecurity Magazine amintește și că în septembrie Apple a corectat CVE-2026-86869, o vulnerabilitate zero-click care putea fi declanșată printr-un iMessage creat special. Pentru acel defect însă nu există raportări de exploatare.

Impactul pentru companiile europene și italiene

Profilul atacurilor țintite privește direct companiile: directorii, administratorii de sistem și cei care lucrează cu informații sensibile sunt țintele tipice. Tocmai aceste persoane primesc adesea excepții de la regulile de actualizare. Un smartphone compromis dă acces la e-mail, mesaje, autentificarea multifactor și aplicațiile companiei.

Pentru entitățile NIS2, smartphone-urile și tabletele companiei sunt active care trebuie gestionate: inventarul, actualizările și gestionarea vulnerabilităților trebuie să le acopere și pe ele, nu doar calculatoarele și serverele. În sănătate, unde iPad-urile sunt folosite des în secții pentru consultarea datelor clinice, un dispozitiv neactualizat este un risc direct pentru datele pacienților.

Ce faci acum

1. Fă inventarul: din consola de gestionare a dispozitivelor mobile (MDM), extrage iPhone-urile și iPad-urile cu versiune mai mică de 26.7.1 și Mac-urile cu versiuni de macOS anterioare Tahoe 26.7.1 sau Sequoia 15.8.1. Verifică în buletinul Apple lista completă a sistemelor corectate.
2. Impune actualizarea: stabilește un termen scurt prin MDM și redu la minimum amânările acordate utilizatorilor, inclusiv excepțiile pentru directori.
3. Începe cu persoanele expuse: definește o listă a utilizatorilor cei mai expuși, actualizează mai întâi dispozitivele lor și ia în calcul pentru ei Modul de izolare (Lockdown Mode) de la Apple.
4. Gestionează dispozitivele excluse: modelele care nu primesc actualizarea rămân vulnerabile. Scoate-le din accesul la datele companiei sau înlocuiește-le.
5. Pregătește răspunsul: nu există indicatori publici. Dacă bănuiești că dispozitivul unei persoane expuse a fost atacat, nu-l restaura imediat: izolează-l de conturile companiei, revocă sesiunile și tokenurile și predă-l pentru o analiză criminalistică specializată. Verifică dacă planul de răspuns la incidente acoperă și smartphone-urile, nu doar calculatoarele.

Cum ajută ARXDOME

Pe Mac, agentul ARX Sentry colectează inventarul de sistem și software, așa că arată imediat ce mașini rulează încă o versiune vulnerabilă de macOS. ARX Shield listează vulnerabilitățile deschise pe fiecare mașină și le evidențiază pe cele deja exploatate de atacatori, ca aceasta. ARX Horizon îți permite să consulți din portal detaliile vulnerabilităților. Pentru iPhone și iPad, punctul de control rămâne consola MDM.

Ultima actualizare: 30 septembrie 2026