Kaj se je zgodilo
Apple je izdal iOS 18.7.11 in iPadOS 18.7.11, s čimer je varnostne popravke, objavljene mesec dni prej za novejše naprave, prenesel tudi na starejše modele, med njimi iPhone XS, iPhone XS Max, iPhone XR in sedmo generacijo iPada. Popravki naslavljajo ranljivost v komponenti CoreGraphics, ki po navedbah BleepingComputer obravnava »izjemno dovršene« ciljane napade na naprave iOS.
Osrednja ranljivost, sledena kot CVE-2026-86950, je napaka tipa zapis zunaj meja pomnilnika (out-of-bounds write) v komponenti CoreGraphics, ki skrbi za obdelavo grafike in dokumentov. Posebej oblikovana datoteka lahko sproži to napako in napadalcu omogoči izvajanje kode znotraj prizadetega procesa. Apple je napako odpravil z dodatnimi preverjanji mejnih vrednosti. Podjetje navaja, da je seznanjeno s poročilom, po katerem naj bi bila ranljivost izkoriščena v izjemno dovršenem napadu proti specifičnim ciljanim posameznikom na različicah iOS pred iOS 27. Odkritje je Applu prijavil Meta Product Security.
CVE-2026-86950 ima po NVD oceno CVSS 3.1 8.8 (visoka resnost), EPSS vrednost na dan 26. oktober 2026 znaša 26,2 odstotka. Ranljivost je vpisana v katalog CISA KEV, kar je potrjen status aktivnega izkoriščanja. Poleg tega so bile v istem obsegu popravkov odpravljene še druge napake: CVE-2026-65339, logična napaka s CVSS oceno 5,0 (srednja resnost), ki lahko aplikaciji omogoči razkritje občutljivih uporabniških podatkov, ter CVE-2026-86990, napaka pri dostopnih pravicah, zaradi katere bi zlonamerna aplikacija lahko dostopala do kamere brez uporabnikovega dovoljenja.
Kaj to pomeni za slovenska in evropska podjetja
Podjetja, ki za delo še vedno uporabljajo starejše modele iPhone in iPad, kot so iPhone XS, XS Max, XR ali sedma generacija iPada, so bila do izdaje tega popravka izpostavljena ranljivosti, ki je po potrjenih podatkih CISA KEV že aktivno izkoriščana. Glede na to, da je bila po navedbah Apple ranljivost uporabljena v ciljanih napadih proti specifičnim posameznikom, gre za tveganje, ki je relevantno predvsem za uporabnike z dostopom do občutljivih podatkov, na primer vodstvene delavce, novinarje ali osebe v pravnih in diplomatskih vlogah.
Priporočeni ukrepi
- Nemudoma namestite iOS 18.7.11 oziroma iPadOS 18.7.11 na vse podprte starejše naprave.
- Preverite, ali imajo novejše naprave v uporabi nameščene ustrezne novejše različice (iOS 26.7.1 ali kasnejše), ki prav tako naslavljajo CVE-2026-86950.
- Pri napravah z visoko izpostavljenostjo (vodstveni kadri, zaposleni z dostopom do občutljivih podatkov) preverite status posodobitev prednostno.
- Spremljajte morebitna nadaljnja obvestila Apple glede dodatnih prizadetih komponent ali platform.
Vprašanja in odgovori
Ali je ranljivost CVE-2026-86950 aktivno izkoriščana? Da, ranljivost je vpisana v katalog CISA KEV, kar predstavlja potrjen status aktivnega izkoriščanja. Apple sicer navaja, da gre po poročilu za izjemno dovršen napad proti specifičnim ciljanim posameznikom.
Katere naprave so prizadete? Popravki se nanašajo na starejše naprave, med njimi iPhone XS, iPhone XS Max, iPhone XR in sedmo generacijo iPada, prek posodobitve na iOS 18.7.11 in iPadOS 18.7.11.
Ali so prizadete tudi druge ranljivosti poleg CVE-2026-86950? Da, isti sveženj popravkov naslavlja tudi CVE-2026-65339 (razkritje podatkov, CVSS 5,0) in CVE-2026-86990 (nepooblaščen dostop do kamere).
Pogosta vprašanja
Ali je ranljivost CVE-2026-86950 aktivno izkoriščana?
Da, ranljivost je vpisana v katalog CISA KEV, kar predstavlja potrjen status aktivnega izkoriščanja. Apple navaja, da naj bi šlo za izjemno dovršen napad proti specifičnim ciljanim posameznikom.
Katere naprave so prizadete?
Popravki se nanašajo na starejše naprave, med njimi iPhone XS, iPhone XS Max, iPhone XR in sedmo generacijo iPada, prek posodobitve na iOS 18.7.11 in iPadOS 18.7.11.
Ali so prizadete tudi druge ranljivosti poleg CVE-2026-86950?
Da, isti sveženj popravkov naslavlja tudi CVE-2026-65339 (razkritje podatkov, CVSS 5,0) in CVE-2026-86990 (nepooblaščen dostop do kamere).
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej