Lukę oznaczono jako CVE-2026-86950. Odkryło ją Meta Product Security. Jest to błąd zapisu poza dozwolonym obszarem pamięci w CoreGraphics, frameworku wykorzystywanym do dwuwymiarowej grafiki wektorowej, rysowania tekstu i renderowania obrazów w iOS, macOS, iPadOS, watchOS oraz tvOS.
Skuteczne wykorzystanie tego rodzaju błędów może pozwolić napastnikom na awaryjne zakończenie działania programów, uszkodzenie danych lub zdalne wykonanie kodu poprzez zapisywanie danych poza przydzielonym buforem pamięci. Apple wyjaśniło, że przetworzenie złośliwie spreparowanego pliku może prowadzić do dowolnego wykonania kodu. Problem usunięto przez ulepszone sprawdzanie granic.
„Apple wie o doniesieniu, że ten problem mógł zostać wykorzystany w niezwykle wyrafinowanym ataku na konkretne osoby, korzystające z wersji iOS wcześniejszych niż iOS 27” — ostrzegło w poniedziałek Apple. Firma podała, że luka była wykorzystywana wyłącznie w wysoce ukierunkowanych atakach, jednak zdecydowanie zaleca się instalację przeniesionych poprawek, aby zablokować potencjalne ataki.
W wrześniu Apple załatało tę samą lukę na urządzeniach z iOS 26.7.1 i iPadOS 26.7.1, macOS Tahoe 26.7.1 oraz macOS Sequoia 15.8.1. Poprawki z tego tygodnia objęły również iPhone’a XS, iPhone’a XS Max, iPhone’a XR, iPada 7. generacji, iPada Air 4. generacji i nowsze, iPada 9. generacji i nowsze oraz iPada mini 6. generacji i nowsze.
Wraz z usunięciem CVE-2026-86950 Apple naprawiło w tym roku dwie luki zero-day wykorzystywane w atakach. Druga, oznaczona CVE-2026-20700, umożliwiała dowolne wykonanie kodu w dyld, czyli edytorze konsolidacji dynamicznej używanym przez systemy operacyjne Apple. Również była wykorzystywana w „niezwykle wyrafinowanych” ukierunkowanych atakach i została załatana w lutym.
Wcześniej w tym roku Apple naprawiło także lukę o wysokiej ważności w Beats Studio Buds, CVE-2025-20701, pozwalającą napastnikom w zasięgu Bluetooth szpiegować rozmowy użytkowników. Firma zabezpieczyła ponadto starsze iPhone’y i iPady przed czterema lukami wykorzystywanymi w cyberatakach szpiegowskich i kradzieżach kryptowalut za pomocą zestawu exploitów Coruna.
