9 листопада 2026 року Apple випустила серію оновлень безпеки, які усувають вісім вразливостей в iMessage, Bluetooth, AirPlay і бібліотеці стиснення Brotli від Google. Найпомітніша проблема — CVE-2026-113961 — дозволяла віддаленому зловмиснику приєднатися до групового чату iMessage і отримувати його повідомлення. Оновлення доступні для iOS/iPadOS 27.2.1, macOS Golden Gate 27.2.1 і watchOS 26.6.1, однак охоплення виправлень відрізняється між платформами: пристрої на iOS 18.7.12 і деякі моделі Apple Watch не отримали виправлення для iMessage і Brotli.
Вразливості iMessage: несанкціонований доступ до групових чатів
Згідно з бюлетенем безпеки Apple для iOS/iPadOS 27.2.1, виправлено дві вразливості в компоненті Messages:
- CVE-2026-113961 — помилка авторизації, яка дозволяла віддаленому зловмиснику приєднатися до групового чату iMessage та отримувати його повідомлення. Apple усунула проблему завдяки покращеній валідації.
- CVE-2026-113960 — вразливість, яка дозволяла користувачеві, доданому до групи, отримати доступ до повідомлень, надісланих до його приєднання. Виправлена шляхом видалення вразливого коду.
Apple не розкриває, чи експлуатувалися ці вразливості, які попередні умови необхідні зловмиснику, чи бачать учасники групи користувача, який приєднався несанкціоновано, і чи потрібно оновлювати пристрої всім учасникам чату для забезпечення захисту. Ці прогалини в інформації суттєво ускладнюють оцінку реального ризику.
CVE-2026-111497: критична вразливість Brotli з каталогу CISA KEV
Серед виправлених вразливостей CVE-2026-111497 заслуговує на першочергову увагу. Це помилка запису за межі буфера (out-of-bounds write) у декодері бібліотеки стиснення Brotli від Google, що може призвести до пошкодження пам’яті під час обробки спеціально сформованих даних. CNA (Google Inc.) оцінює вразливість за CVSS 4.0 на рівні 9.2 — Critical.
Згідно з даними NVD, вразливість зачіпає Google Brotli версій з 1.0.3 до 1.0.10, з 1.1.0 до 1.1.1 і з 1.2.0 до 1.2.1. CISA внесла CVE-2026-111497 до каталогу Known Exploited Vulnerabilities 27 жовтня 2026 року з крайнім терміном усунення 10 листопада 2026 року — тобто дедлайн фактично збігся з виходом оновлень Apple.
Саме CVE-2026-111497 має отримати найвищий пріоритет під час встановлення патчів у цьому пакеті оновлень: це єдина з восьми вразливостей, яка має підтверджений статус CISA KEV і критичну оцінку CVSS. Для вразливостей iMessage і Bluetooth подібного підтвердження експлуатації немає. Ми вже писали про цю вразливість у контексті її впливу на екосистему — Brotli використовується в безлічі продуктів, від Node.js до серверних проксі.
Вразливості Bluetooth і AirPlay
Усі дев’ять випущених оновлень, включно з watchOS 26.6.1, містять виправлення для п’яти вразливостей у підсистемах Bluetooth та AirPlay:
- CVE-2026-113965 — зловмисний пристрій Bluetooth міг установити сполучення без взаємодії з користувачем.
- CVE-2026-113964 — зловмисник у радіусі дії Bluetooth міг обійти обмеження на кількість спроб введення коду сполучення та під’єднатися без участі користувача.
- CVE-2026-113968 — обхід обмеження частоти спроб введення коду сполучення з радіуса дії Bluetooth.
- CVE-2026-113969 — обхід обмеження частоти спроб введення коду сполучення AirPlay з тієї ж мережі.
- CVE-2026-113970 — помилка використання звільненої пам’яті (use-after-free), що дозволяла зловмиснику в радіусі дії Bluetooth пошкодити пам’ять процесу.
Apple не уточнює, які дії стають доступними зловмиснику після несанкціонованого сполучення.
Матриця покриття: не всі платформи захищені однаково
Важлива деталь цього оновлення — нерівномірний розподіл виправлень між платформами. iOS/iPadOS 27.2.1 (для iPhone 11 і новіших, а також зазначених моделей iPad) і macOS Golden Gate 27.2.1 включають усі три групи виправлень: iMessage, Brotli та Bluetooth/AirPlay. Натомість watchOS 26.6.1 містить лише виправлення Bluetooth і AirPlay — без патчів для iMessage та Brotli. Оновлення iOS 18.7.12 для iPhone XS, XS Max, XR і iPad 7-го покоління також не включають виправлення iMessage і Brotli.
Apple не пояснює, чи піддаються пристрої на цих гілках ОС зазначеним вразливостям, чи вони від початку не були вразливими. Відсутність виправлення в бюлетені не є тотожним відсутності вразливості.
Рекомендації
- Негайно оновіть пристрої до iOS/iPadOS 27.2.1 і macOS Golden Gate 27.2.1 — ці версії закривають усі вісім вразливостей, включно з критичною CVE-2026-111497 із дедлайном CISA KEV 10 листопада.
- Apple Watch оновіть до watchOS 26.6.1 для усунення вразливостей Bluetooth і AirPlay.
- Для пристроїв на iOS 18.7.12, які не отримали виправлення iMessage і Brotli, Apple не пропонує тимчасових рішень. Повний список оновлень доступний на сторінці релізів безпеки Apple.
- Організаціям, які використовують Brotli у серверній інфраструктурі, слід перевірити версії бібліотеки в усіх продуктах — вразливість зачіпає не лише Apple, а й будь-яке ПЗ, що включає Brotli вразливих версій.
Пріоритет оновлення визначається просто: CVE-2026-111497 у Brotli — єдина вразливість із цього пакета з підтвердженою експлуатацією та критичним рейтингом CVSS-B 9.2, і її дедлайн за CISA KEV уже настав. Пристрої на iOS/iPadOS 27.2.1 і macOS Golden Gate 27.2.1 слід оновити в першу чергу, а для пристроїв на старих гілках ОС — відстежувати появу додаткових бюлетенів Apple.
