30 сентября 2026 года исследователи из компании Calif опубликовали первый публичный proof-of-concept для уязвимости CVE-2026-86950 — ошибки записи за пределами буфера (out-of-bounds write, CWE-787) во фреймворке Apple CoreGraphics. Apple устранила проблему 28 сентября, указав, что она «могла использоваться в чрезвычайно сложных атаках против конкретных целей» на версиях iOS до iOS 27. Уязвимость затрагивает iPhone, iPad и Mac; патчи доступны в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Мы уже писали об этой уязвимости в момент выхода патча — теперь появились новые технические подробности и вопросы о возможном векторе доставки.
Техническая суть уязвимости
CoreGraphics — системный фреймворк Apple для 2D-отрисовки, рендеринга изображений и обработки PDF. Согласно отчёту исследователей Calif, при сравнении бинарных файлов iOS 26.7 и 26.7.1 выяснилось, что CoreGraphics был единственной изменённой библиотекой, причём одно и то же исправление было применено более 20 раз в восьми функциях растеризатора.
Суть бага — в несогласованной обработке координат глифов при конвертации из формата с плавающей точкой в 32-битное значение с фиксированной точкой. Две из восьми функций обрабатывали выход за пределы допустимого диапазона по-разному: одна насыщала результат, другая усекала. Это приводило к тому, что ограничивающий прямоугольник (bounding box) глифа оказывался уже, чем нужно. CoreGraphics выделял рабочий буфер меньшего размера, а затем записывал данные за его пределами.
По данным GitHub Advisory Database, уязвимость получила оценку CVSS 8.8 (High). Apple в своих бюллетенях оценку CVSS не публикует.
Что показывает PoC — и чего не показывает
Для срабатывания бага исследователи создали шрифт TrueType с координатами, достаточно большими для переполнения, и встроили его в PDF-файл. Вложенное масштабирование составных глифов через текстовую матрицу выводит координаты за допустимый предел. Скрипты генерации и образец PDF, по данным отчёта, размещены в публичном репозитории на GitHub.
Здесь принципиально важно разграничение: опубликованный PoC вызывает контролируемый сбой (crash) и демонстрирует запись за пределами буфера, но не показывает выполнение произвольного кода. Исследователи Calif прямо указывают, что превращение этого примитива в работающий эксплойт — отдельная задача, которую их анализ не решает. При этом Apple в своём бюллетене заявляет, что обработка вредоносного файла «могла привести к выполнению произвольного кода». Это расхождение не является противоречием: Apple описывает потенциальное воздействие уязвимости, а Calif — границы своей демонстрации.
Исследователи также отмечают, что не получили образец эксплойта, использовавшегося в реальных атаках, и не могут сказать, как атакующие завершали цепочку эксплуатации. Никаких сетевых индикаторов, идентификаторов атакующих или имён полезных нагрузок опубликовано не было.
Гипотеза о WhatsApp: косвенные улики, не доказательство
Отдельного внимания заслуживает вопрос о возможном векторе доставки. Apple указала Meta Product Security как источник обнаружения уязвимости, что побудило Calif изучить WhatsApp. Сравнив две версии мессенджера (26.37.73 и 26.38.74), исследователи обнаружили новый код в сканере вложений Kaleidoscope: более новая версия проверяет PDF-файлы на наличие встроенных шрифтовых потоков и помечает подозрительные тегами MalformedFontProgram, UndecodableFontProgram и UnverifiedFontProgram, блокируя автоматический парсинг помеченных файлов.
Calif описала эти изменения как косвенные улики, указывающие на WhatsApp как возможный вектор доставки. Однако опубликованный анализ не тестировал путь доставки через WhatsApp. Более того, первоначальная версия отчёта содержала утверждение о возможности доставки через мессенджер, но оно было удалено через 85 минут после публикации — CEO Calif Тай Дуонг охарактеризовал правку как удаление спекуляций о WhatsApp.
Итоговая формулировка Calif оставляет открытым вопрос: была ли уязвимость «скомбинирована с дополнительными уязвимостями в WhatsApp для достижения парсинга с меньшим взаимодействием пользователя». Такая формулировка подразумевает, что изученный путь потребовал бы действий пользователя или дополнительных уязвимостей в цепочке. WhatsApp не публиковал бюллетеней, связывающих этот баг со своими продуктами. Meta не ответила на запросы журналистов до публикации.
Асимметрия в описании затронутых версий
Стоит обратить внимание на асимметрию в бюллетенях Apple. Компания явно ограничивает описание эксплуатации версиями iOS до iOS 27, при этом iOS 27 и macOS Golden Gate 27 не указаны как затронутые. Однако исправления выпущены для двух веток macOS — macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1 — без указания, какие именно версии macOS были уязвимы. Это оставляет неопределённость для администраторов macOS-парков.
Реагирование и сроки
CISA внесла CVE-2026-86950 в каталог KEV 29 сентября 2026 года, установив крайний срок для федеральных ведомств США — 2 октября. Фактически это оставляло ведомствам минимальное окно для применения патча. Apple не указала, блокирует ли Lockdown Mode вектор доставки, использованный в зафиксированных атаках.
Рекомендации
- Немедленно обновите устройства Apple до iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 или macOS Sequoia 15.8.1 — уязвимость подтверждена как эксплуатируемая в реальных атаках.
- Приоритизируйте устройства на iOS ниже 27 — именно для них Apple подтверждает факт эксплуатации.
- Обновите WhatsApp до версии 26.38.74 или новее — в ней появились дополнительные проверки встроенных шрифтов в PDF-вложениях, хотя связь с CVE-2026-86950 официально не подтверждена.
- Для устройств, которые нельзя обновить немедленно: Apple не описала обходных путей. Рассмотрите ограничение обработки PDF-файлов из недоверенных источников на уровне политик MDM.
Публикация PoC повышает вероятность того, что другие исследователи — или атакующие — смогут воспроизвести и развить примитив записи за пределами буфера. Пока PoC демонстрирует только сбой, а не полноценный эксплойт, но разрыв между crash-примитивом и рабочей эксплуатацией может быть преодолён. Единственная надёжная мера — установка обновлений Apple, выпущенных 28 сентября.
