26 жовтня 2026 року Apple випустила iOS 18.7.11 і iPadOS 18.7.11 — оновлення безпеки для застарілих моделей iPhone та iPad, яке портирує виправлення вразливості CVE-2026-86950 у компоненті CoreGraphics. За даними Apple, цю вразливість могли використовувати у «вкрай витончених атаках» проти конкретних осіб. Власникам iPhone XS, XS Max, XR і низки моделей iPad варто встановити оновлення негайно — патч закриває лазівку, через яку обробка спеціально сформованого файла призводить до виконання довільного коду.
Технічна суть вразливості
CVE-2026-86950 класифікується як out-of-bounds write (запис за межами буфера, CWE-787 за даними NVD). Вразливість зачіпає підсистему CoreGraphics — фреймворк, що відповідає за обробку графічних даних в усіх операційних системах Apple. Під час відкриття спеціально підготовленого файла зловмисник отримує можливість виконати довільний код на пристрої жертви.
Оцінка серйозності за CVSS 3.1 становить 8.8 (High). Важливе уточнення: цей бал оцінено CISA-ADP, а не NVD — власна оцінка NVD на момент публікації ще не надана. Вектор атаки — мережевий, з низькою складністю експлуатації та без потреби в привілеях, але з необхідністю взаємодії користувача (відкриття файла).
Спочатку Apple усунула цю вразливість 28 вересня 2026 року в iOS 26.7.1 та iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Однак ці оновлення охоплювали лише пристрої, що підтримують актуальні гілки ОС. Тепер виправлення поширене на застарілу гілку 18.x, що ліквідує розрив для власників старіших моделей.
Які пристрої зачеплено
Оновлення iOS 18.7.11 та iPadOS 18.7.11 призначене для:
- iPhone XS, iPhone XS Max, iPhone XR
- iPad 7-го покоління
- iPad Air 4-го покоління та новіші
- iPad 9-го покоління та новіші
- iPad mini 6-го покоління та новіші
Власники новіших пристроїв, що підтримують iOS 27, мають використовувати гілку 27.2, яка вийшла одночасно і містить виправлення сотень вразливостей.
Експлуатація та контекст загрози
Apple повідомляє, що CVE-2026-86950 «могла використовуватися у вкрай витонченій атаці проти конкретних цільових осіб на версіях iOS до iOS 27». Формулювання обережне — компанія говорить про можливу експлуатацію, а не підтверджену. Незалежного підтвердження цих атак від сторонніх дослідників або урядових агентств виявлено не було. Атрибуція — хто стоїть за атаками та хто став жертвою — не розкривається.
Ми вже писали про цю вразливість під час виходу початкового патча у вересні, а також розбирали публічний PoC-експлойт і питання можливих векторів доставки. Нинішній бекпорт — логічне продовження цієї історії: Apple закриває вікно вразливості для пристроїв, які залишилися без захисту після вересневого оновлення.
Додаткові виправлення в iOS 18.7.11
Окрім CVE-2026-86950, оновлення усуває ще дві вразливості:
- CVE-2026-65339 (Audio) — логічна помилка, що дозволяє застосунку отримати доступ до конфіденційної інформації користувача.
- CVE-2026-86990 (CoreMedia) — вразливість доступу, через яку шкідливий застосунок може активувати камеру без дозволу користувача.
Окремої уваги заслуговує CVE-2026-86987 у компоненті Apple Intelligence, виправлена в iOS 27.2 та iPadOS 27.2. Це помилка авторизації, яка дозволяє віддаленому зловмиснику отримати доступ до конфіденційних даних. Вразливість зачіпає лише пристрої з підтримкою Apple Intelligence (iPhone 15 Pro та новіші), тому до гілки 18.x її не включено.
Рекомендації
Пріоритет оновлення — високий. Конкретні дії залежать від моделі пристрою:
- iPhone XS/XR, iPad 7-го покоління та інші пристрої зі списку вище — установіть iOS/iPadOS 18.7.11 через «Налаштування → Основні → Оновлення ПЗ».
- Пристрої з підтримкою iOS 27 — оновіться до iOS/iPadOS 27.2.
- Mac — переконайтеся, що встановлено macOS Tahoe 26.7.1 або macOS Sequoia 15.8.1 (чи новіші версії).
З огляду на те, що вразливість CVE-2026-86950 експлуатується через обробку файлів, до встановлення оновлення уникайте відкриття вкладень і документів із неперевірених джерел — особливо графічних файлів, отриманих через месенджери або електронну пошту.
Бекпорт патча на застарілу гілку iOS 18.x — нетиповий крок для Apple, який підкреслює серйозність загрози. Власникам зачеплених пристроїв не варто відкладати встановлення: вразливість уже використовувалася в реальних атаках, публічний PoC існує, а оновлення доступне просто зараз.
