CVE-2026-86950: Zero-Day у Apple CoreGraphics, пов’язаний з надзвичайно складними цільовими атаками

Apple випустила термінові оновлення безпеки для усунення уразливості CoreGraphics, яка могла бути експлуатована в рамках високоточних нападів на конкретних осіб. Відстежувана як CVE-2026-86950, ця уразливість є проблемою запису за межі області, яка може привести до виконання довільного коду, коли уразливий пристрій Apple обробляє шкідливо сформований файл.

Уразливість була повідомлена Apple службою Meta Product Security. Apple стверджує, що їй відомо про звіт, який вказує на те, що уразливість могла бути використана в «надзвичайно складному нападі» проти вибраних цілей, що працюють з версіями iOS раніше iOS 27. Компанія не розкривала, хто був ціллю, як було доставлено шкідливий контент, чи були успішними спроби експлуатації чи хто стоїть за цими діями.

CoreGraphics – це базова графічна фреймворк, яка використовується у всіх операційних системах Apple для відображення двовимірного контенту, включаючи зображення та PDF-документи. Через те, що він може обробляти файли, отримані через браузери, поштові клієнти, месенджери, переглядачі документів та інше програмне забезпечення, вразливість пошкодження пам’яті в цьому шарі може створити значну поверхню атаки.

Apple виправила уразливість 28 вересня 2026 року через iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 та macOS Sequoia 15.8.1. Новіші iOS 27 та macOS Golden Gate 27, здається, не піддаються впливу.

Зв’яжіться з відділом продажів

Аналіз CVE-2026-86950

Уразливість є проблемою запису за межі області в компоненті CoreGraphics від Apple. Такий клас проблем з безпекою пам’яті виникає, коли програмне забезпечення записує дані за межі виділеної буферної пам’яті для операції. Якщо зловмисник може достатньою мірою контролювати цей запис, може бути пошкоджена сусідня пам’ять, і виконання програми потенційно може бути перенаправлене. Apple вирішила цю проблему, впровадивши поліпшену перевірку меж.

Найважливіші деталі для CVE-2026-86950 полягають у тому, що експлуатація починається, коли постраждалий код CoreGraphics обробляє шкідливо сформований файл. Apple не розкрила точного типу файлу, деформованої структури або характеристик навантаження, необхідних для активації уразливості.

SecurityWeek зазначає, що CoreGraphics залучений до обробки 2D графіки та PDF на платформах Apple. Це означає, що шкідливий файл теоретично може досягти вразливого парсера через кілька каналів, включаючи веб-сторінку, вкладення електронної пошти або месенджер. Автоматичні попередні перегляди потенційно можуть зменшити або усунути необхідність у явній взаємодії користувача в деяких сценаріях атак. Однак, Apple не підтвердила, що спостережуваний напад використовував будь-який з цих механізмів доставки, тому це залишається оцінкою можливої ​​експозиції, а не документованим ланцюгом експлуатації.

CVE-2026-86950 впливає на старіші підтримувані гілки операційних систем Apple, охоплені релізом безпеки 28 вересня, включаючи:

• iOS 26.7.1 та iPadOS 26.7.1 як виправлені версії
• macOS Tahoe 26.7.1 як виправлений реліз Tahoe
• macOS Sequoia 15.8.1 як виправлений реліз Sequoia

Для iOS і iPadOS Apple надає оновлення безпеки для:

• iPhone 11 і наступні моделі
• iPad Pro 12.9-дюймовий, 3-го покоління і наступні
• iPad Pro 11-дюймовий, 1-го покоління і наступні
• iPad Air, 3-го покоління і наступні
• iPad, 8-го покоління і наступні
• iPad mini, 5-го покоління і наступні

Вказівка Apple безпосередньо пов’язує відомі або підозрювані експлуатації з пристроями, які працюють з версіями iOS раніше iOS 27. SecurityWeek зазначає, що хоча і iOS, і macOS містять вразливий компонент, публічні заяви Apple вказують на те, що спостережувані цілеспрямовані атаки були пов’язані з iOS, а не macOS.

Практичний вплив потенційно серйозний. Успішне виконання довільного коду може дозволити виконання інструкцій під контролем зловмисника у рамках процесу, який обробляє шкідливий файл. Привілеї та наступні можливості будуть залежати від експлуатованого процесу та від того, чи має зловмисник також додаткові вразливості, які дозволяють уникнути обмежень на рівні додатків або отримати вищі привілеї.

Ця відмінність важлива. Apple не стверджувала, що CVE-2026-86950 сам по собі надає зловмисникам повний контроль над iPhone, iPad або Mac. У складних мобільних атаках вразливості пошкодження пам’яті часто поєднуються з додатковими помилками, щоб обійти пісочниці, підвищити привілеї або встановити персистентність. Жодна така експлуатаційна ланцюг не була публічно задокументована для цієї кампанії.

Meta Product Security повідомила про уразливість до Apple, але ні Apple, ні Meta не опублікували технічного дослідження, яке описує оригінальну знахідку, шкідливий зразок або інфраструктуру атаки. SecurityWeek також зазначає, що участь Meta викликає питання про те, чи могла уразливість бути зустрінута через додаток, що належить Meta, такий як WhatsApp, але наразі немає жодних доказів, що встановлюють таке з’єднання.

Цю можливість не слід плутати з підтвердженими фактами. У 2025 році WhatsApp розкрив окремий цілеспрямований напад, який об’єднав уразливість WhatsApp з нульовим днем у Apple ImageIO. SecurityWeek наводить цей попередній інцидент лише як контекст; це не вказує на те, що CVE-2026-86950 був доставлений через WhatsApp.

Apple публічно розкрила CVE-2026-86950 28 вересня 2026 року, одночасно з оновленнями безпеки. Точна дата приватного виявлення та дата, коли могла розпочатися експлуатація, не розголошені.

Надійне публічне підтвердження CVE-2026-86950 не було розкрите в повідомленні Apple або в двох наданих звітах. Apple також утрималася від надання деталей про деформований файл, необхідних для відтворення уразливості, що зменшує негайну технічну інформацію, доступну для опортуністичних атачів, поки пристрої оновлюються.

Не існує також публічних конкретних для кампанії IOCs CVE-2026-86950, таких як шкідливі домени, IP-адреси, хеши файлів, імена вкладень або підписи експлуатів в бюлетені Apple або в двох звітах. Це суттєво обмежує пошук загроз на основі індикаторів.

Станом на звіт SecurityWeek від 29 вересня, CISA ще не додала уразливість до свого каталогу відомих експлуатаційних уразливостей. Самі слова Apple обережні, стверджуючи, що компанії відомо про звіт, що експлуатація may могла відбутися.

Проте, організації повинні ставитись до оновлення з високим пріоритетом. Apple рідко використовує мову, описуючи «надзвичайно складний напад проти певних цілеспрямованих осіб» для звичайних розголошень уразливостей, і компонента CoreGraphics, яка постраждала, знаходиться на шляху обробки файлів, що може бути досягнуто через численні додатки.

Пом’якшення CVE-2026-86950

Основний засіб захисту – негайно встановити оновлення безпеки від Apple від 28 вересня.

Уражені користувачі повинні оновитися до:

• iOS 26.7.1
• iPadOS 26.7.1
• macOS Tahoe 26.7.1
• macOS Sequoia 15.8.1

Apple підтверджує, що уразливість виправлена в цих релізах за рахунок поліпшеної перевірки меж.

Користувачі можуть перевірити наявність оновлень на iPhone та iPad через:

Налаштування → Загальні → Оновлення програмного забезпечення

На macOS:

Системні налаштування → Загальні → Оновлення програмного забезпечення

Організації, які керують флотами Apple через MDM, повинні перевірити встановлену збірку ОС централізовано замість того, щоб покладатися на користувачів, щоб ручно ініціювати оновлення.

Користувачам з високим ризиком заслуговує на особливу увагу. Оскільки Apple пов’язує проблему з цілеспрямованим нападом проти певних осіб, організації, які підтримують керівників, державних посадовців, журналістів, дипломатів, дослідників, оборонний персонал, політичних діячів або інших користувачів з підвищеним ризиком, повинні пріоритизувати розгортання.

Виявлення CVE-2026-86950 є складним, оскільки Apple не опублікувала телеметрію, яка б стосувалася експлуатаційних дій або інфраструктури зловмисників. Першим кроком захисту має бути виявлення пристроїв, що знаходяться на вразливих передвипускних версіях операційної системи.

Для виявлення експлуатації CVE-2026-86950 або підозрілої наступної активності, захисники повинні корелювати наявну телеметрію кінцевих точок, MDM, мережі, ідентичності та додатків для виявлення таких поведінок, як:

• Пристрої, що залишаються нижче виправлених версій ОС
• Несподівані крахи, пов’язані з графікою, документами або процесами повідомлень
• Підозрілі файли, що прибули незадовго до незрозумілих збоїв процесів
• Незвичайна поведінка додатків після обробки зображень або PDF
• Несподівані дочірні процеси або запуски додатків на macOS
• Незрозуміла вихідна мережна комунікація після отримання підозрілого файлу
• Нові механізми персистенції або профілі конфігурації
• Незвичайна активність облікових даних або сесій, пов’язана з ураженим користувачем
• Несподіваний доступ до облікового запису Apple зі незнайомих систем або місць
• Попередження безпеки, що відбуваються відразу після оброблення документів, повідомлень або веб-контенту

Ці дані є загальними судово-експертними підказками, а не специфічними для уразливості підписами. Сам по собі збій процесу не демонструє експлуатацію, і Apple не надала достатньо технічних деталей, щоб визначити унікальний шаблон виявлення.

Організації також повинні зберегти потенційно релевантні повідомлення, вкладення, історію переглядів, уніфіковані журнали, записи MDM, телеметрію DNS, дані проксі, журнали ідентифікації та мережні записи для користувачів з високим ризиком, де підозрюється компроміс.

Тому що мобільні платформи значно менше виставляють нижнього рівня телеметрії, ніж звичайні настільні кінцеві точки, відсутність видимих артефактів не встановлює, що експлуатація не відбулася.

Для користувачів, що стикаються з підвищеним ризиком шпигуючого ПЗ, Apple’s Режим обмеженого доступу також може забезпечити додаткове зміцнення проти дуже складних цілеспрямованих нападів, зменшуючи певну функціональність обробки додатків і контента. Це не замінює установку оновлення безпеки.

Реагування на інциденти, які розслідують потенційно скомпрометований пристрій, повинні уникати припущення, що оновлення операційної системи усуває будь-який раніше встановлений доступ зловмисників. Якщо експлуатація була частиною ширшого ланцюга, додаткові артефакти або викрадені облікові дані можуть залишитися за межами уразливого шляху коду CoreGraphics.

Для підозрюваного високоризикового компромісу організації повинні враховувати:

• Збереження судових доказів перед скиданням або заміною
• Перегляд сесій облікового запису Apple та перевірених пристроїв
• Відкликання підозрілих сесій
• Перевірка активності провайдера ідентичності підприємства
• Інспекція пов’язаної активності електронної пошти або повідомлень
• Оцінка інших пристроїв, що належать тому ж цільовому користувачеві

Швидке розгортання патчів залишається найважливішим захисним заходом, оскільки Apple не випустила жодного конфігураційного обхідного рішення для основної проблеми з безпекою пам’яті.