9 ноября 2026 года Apple выпустила серию обновлений безопасности, устраняющих восемь уязвимостей в iMessage, Bluetooth, AirPlay и библиотеке сжатия Brotli от Google. Наиболее заметная проблема — CVE-2026-113961 — позволяла удалённому злоумышленнику присоединиться к групповому чату iMessage и получать его сообщения. Обновления доступны для iOS/iPadOS 27.2.1, macOS Golden Gate 27.2.1 и watchOS 26.6.1, однако охват исправлений различается между платформами: устройства на iOS 18.7.12 и некоторые модели Apple Watch не получили исправления для iMessage и Brotli.
Уязвимости iMessage: несанкционированный доступ к групповым чатам
Согласно бюллетеню безопасности Apple для iOS/iPadOS 27.2.1, исправлены две уязвимости в компоненте Messages:
- CVE-2026-113961 — ошибка авторизации, позволявшая удалённому злоумышленнику присоединиться к групповому чату iMessage и получать его сообщения. Apple устранила проблему улучшенной валидацией.
- CVE-2026-113960 — уязвимость, позволявшая пользователю, добавленному в группу, получить доступ к сообщениям, отправленным до его присоединения. Исправлена путём удаления уязвимого кода.
Apple не раскрывает, эксплуатировались ли эти уязвимости, какие предварительные условия необходимы атакующему, видят ли участники группы несанкционированно присоединившегося пользователя и нужно ли обновлять устройства всем участникам чата для обеспечения защиты. Эти пробелы в информации существенно затрудняют оценку реального риска.
CVE-2026-111497: критическая уязвимость Brotli из каталога CISA KEV
Среди исправленных уязвимостей CVE-2026-111497 заслуживает приоритетного внимания. Это ошибка записи за пределами буфера (out-of-bounds write) в декодере библиотеки сжатия Brotli от Google, способная привести к повреждению памяти при обработке специально сформированных данных. CNA (Google Inc.) оценивает уязвимость по CVSS 4.0 на уровне 9.2 — Critical.
Согласно данным NVD, уязвимость затрагивает Google Brotli версий 1.0.3 до 1.0.10, 1.1.0 до 1.1.1 и 1.2.0 до 1.2.1. CISA внесла CVE-2026-111497 в каталог Known Exploited Vulnerabilities 27 октября 2026 года с крайним сроком устранения 10 ноября 2026 года — то есть дедлайн фактически совпал с выходом обновлений Apple.
Именно CVE-2026-111497 должна получить наивысший приоритет при патчинге в этом пакете обновлений: это единственная из восьми уязвимостей, имеющая подтверждённый статус CISA KEV и критическую оценку CVSS. Для уязвимостей iMessage и Bluetooth подобного подтверждения эксплуатации нет. Мы уже писали об этой уязвимости в контексте её влияния на экосистему — Brotli используется во множестве продуктов, от Node.js до серверных прокси.
Уязвимости Bluetooth и AirPlay
Все девять выпущенных обновлений, включая watchOS 26.6.1, содержат исправления для пяти уязвимостей в подсистемах Bluetooth и AirPlay:
- CVE-2026-113965 — вредоносное Bluetooth-устройство могло установить сопряжение без взаимодействия с пользователем.
- CVE-2026-113964 — атакующий в радиусе Bluetooth мог обойти ограничение на количество попыток ввода кода сопряжения и подключиться без участия пользователя.
- CVE-2026-113968 — обход ограничения частоты попыток ввода кода сопряжения из радиуса Bluetooth.
- CVE-2026-113969 — обход ограничения частоты попыток ввода кода сопряжения AirPlay из той же сети.
- CVE-2026-113970 — ошибка использования освобождённой памяти (use-after-free), позволявшая атакующему в радиусе Bluetooth повредить память процесса.
Apple не уточняет, какие действия становятся доступны злоумышленнику после несанкционированного сопряжения.
Матрица покрытия: не все платформы защищены одинаково
Важная деталь этого обновления — неравномерное распределение исправлений по платформам. iOS/iPadOS 27.2.1 (для iPhone 11 и новее, а также указанных моделей iPad) и macOS Golden Gate 27.2.1 включают все три группы исправлений: iMessage, Brotli и Bluetooth/AirPlay. Однако watchOS 26.6.1 содержит только исправления Bluetooth и AirPlay — без патчей для iMessage и Brotli. Обновления iOS 18.7.12 для iPhone XS, XS Max, XR и iPad 7-го поколения также не включают исправления iMessage и Brotli.
Apple не поясняет, подвержены ли устройства на этих ветках ОС указанным уязвимостям или они изначально не затронуты. Отсутствие исправления в бюллетене не тождественно отсутствию уязвимости.
Рекомендации
- Немедленно обновите устройства до iOS/iPadOS 27.2.1 и macOS Golden Gate 27.2.1 — эти версии закрывают все восемь уязвимостей, включая критическую CVE-2026-111497 с дедлайном CISA KEV 10 ноября.
- Apple Watch обновите до watchOS 26.6.1 для устранения уязвимостей Bluetooth и AirPlay.
- Для устройств на iOS 18.7.12, не получивших исправления iMessage и Brotli, Apple не предлагает обходных решений. Полный список обновлений доступен на странице релизов безопасности Apple.
- Организациям, использующим Brotli в серверной инфраструктуре, следует проверить версии библиотеки во всех продуктах — уязвимость затрагивает не только Apple, но и любое ПО, включающее Brotli уязвимых версий.
Приоритет обновления определяется просто: CVE-2026-111497 в Brotli — единственная уязвимость из этого пакета с подтверждённой эксплуатацией и критическим рейтингом CVSS-B 9.2, и её дедлайн по CISA KEV уже наступил. Устройства на iOS/iPadOS 27.2.1 и macOS Golden Gate 27.2.1 следует обновить в первую очередь, а для устройств на старых ветках ОС — отслеживать появление дополнительных бюллетеней Apple.
