30 вересня 2026 року дослідники з компанії Calif опублікували перший публічний proof-of-concept для вразливості CVE-2026-86950 — помилки запису за межами буфера (out-of-bounds write, CWE-787) у фреймворку Apple CoreGraphics. Apple усунула проблему 28 вересня, зазначивши, що вона «могла використовуватися у вкрай складних атаках проти конкретних цілей» на версіях iOS до iOS 27. Вразливість зачіпає iPhone, iPad і Mac; патчі доступні в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Ми уже писали про цю вразливість у момент виходу патча — тепер з’явилися нові технічні подробиці та запитання щодо можливого вектора доставки.
Технічна суть вразливості
CoreGraphics — системний фреймворк Apple для 2D-відмалювання, рендерингу зображень і обробки PDF. Згідно зі звітом дослідників Calif, під час порівняння бінарних файлів iOS 26.7 та 26.7.1 з’ясувалося, що CoreGraphics була єдиною зміненою бібліотекою, причому одне й те саме виправлення було застосоване більш ніж 20 разів у восьми функціях растеризатора.
Суть бага — у неузгодженій обробці координат гліфів під час конвертації з формату з плаваючою комою в 32-бітове значення з фіксованою комою. Дві з восьми функцій обробляли вихід за межі допустимого діапазону по-різному: одна насичувала результат, інша усікала. Це призводило до того, що обмежувальний прямокутник (bounding box) гліфа виявлявся вужчим, ніж потрібно. CoreGraphics виділяла робочий буфер меншого розміру, а потім записувала дані за його межами.
За даними GitHub Advisory Database, вразливість отримала оцінку CVSS 8.8 (High). Apple у своїх бюлетенях оцінку CVSS не публікує.
Що демонструє PoC — і чого він не демонструє
Для спрацьовування бага дослідники створили шрифт TrueType з координатами, достатньо великими для переповнення, і вбудували його в PDF-файл. Вкладене масштабування складових гліфів через текстову матрицю виводить координати за допустиму межу. Скрипти генерації та зразок PDF, за даними звіту, розміщені в публічному репозиторії на GitHub.
Тут принципово важливе розмежування: опублікований PoC викликає контрольований збій (crash) і демонструє запис за межами буфера, але не показує виконання довільного коду. Дослідники Calif прямо зазначають, що перетворення цього примітива на робочий експлойт — окреме завдання, яке їхній аналіз не розв’язує. Водночас Apple у своєму бюлетені заявляє, що обробка шкідливого файла «могла призвести до виконання довільного коду». Ця розбіжність не є суперечністю: Apple описує потенційний вплив вразливості, а Calif — межі власної демонстрації.
Дослідники також відзначають, що не отримали зразок експлойта, який використовувався в реальних атаках, і не можуть сказати, як зловмисники завершували ланцюжок експлуатації. Жодних мережевих індикаторів, ідентифікаторів зловмисників або назв корисних навантажень опубліковано не було.
Гіпотеза щодо WhatsApp: непрямі докази, а не підтвердження
Окремої уваги заслуговує питання про можливий вектор доставки. Apple вказала Meta Product Security як джерело виявлення вразливості, що спонукало Calif вивчити WhatsApp. Порівнявши дві версії месенджера (26.37.73 і 26.38.74), дослідники виявили новий код у сканері вкладень Kaleidoscope: новіша версія перевіряє PDF-файли на наявність вбудованих шрифтових потоків і позначає підозрілі тегами MalformedFontProgram, UndecodableFontProgram і UnverifiedFontProgram, блокуючи автоматичний парсинг позначених файлів.
Calif описала ці зміни як непрямі докази, що вказують на WhatsApp як на можливий вектор доставки. Однак опублікований аналіз не тестував шлях доставки через WhatsApp. Ба більше, початкова версія звіту містила твердження про можливість доставки через месенджер, але його було видалено через 85 хвилин після публікації — CEO Calif Тай Дуонг охарактеризував правку як видалення спекуляцій щодо WhatsApp.
Підсумкове формулювання Calif залишає відкритим питання: чи була вразливість «скомбінована з додатковими вразливостями в WhatsApp для досягнення парсингу з меншим рівнем взаємодії користувача». Таке формулювання передбачає, що вивчений шлях вимагав би дій користувача або додаткових вразливостей у ланцюжку. WhatsApp не публікував бюлетенів безпеки, які пов’язують цей баг зі своїми продуктами. Meta не відповіла на запити журналістів до публікації.
Асиметрія в описі заторкнутих версій
Варто звернути увагу на асиметрію в бюлетенях Apple. Компанія явно обмежує опис експлуатації версіями iOS до iOS 27, при цьому iOS 27 і macOS Golden Gate 27 не вказані як уразливі. Однак виправлення випущені для двох гілок macOS — macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1 — без уточнення, які саме версії macOS були вразливими. Це залишає невизначеність для адміністраторів macOS-парків.
Реагування та строки
CISA внесла CVE-2026-86950 до каталогу KEV 29 вересня 2026 року, встановивши крайній строк для федеральних відомств США — 2 жовтня. Фактично це залишало відомствам мінімальне вікно для застосування патча. Apple не уточнила, чи блокує Lockdown Mode вектор доставки, використаний у зафіксованих атаках.
Рекомендації
- Негайно оновіть пристрої Apple до iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 або macOS Sequoia 15.8.1 — вразливість підтверджена як така, що експлуатується в реальних атаках.
- Пріоритизуйте пристрої на iOS нижче 27 — саме для них Apple підтверджує факт експлуатації.
- Оновіть WhatsApp до версії 26.38.74 або новішої — у ній з’явилися додаткові перевірки вбудованих шрифтів у PDF-вкладеннях, хоча зв’язок із CVE-2026-86950 офіційно не підтверджено.
- Для пристроїв, які не можна оновити негайно: Apple не описала тимчасових рішень. Розгляньте обмеження обробки PDF-файлів із ненадійних джерел на рівні політик MDM.
Публікація PoC підвищує імовірність того, що інші дослідники — або зловмисники — зможуть відтворити й розвинути примітив запису за межами буфера. Поки що PoC демонструє лише збій, а не повноцінний експлойт, але розрив між crash-примітивом і робочою експлуатацією може бути подоланий. Єдиний надійний захід — встановлення оновлень Apple, випущених 28 вересня.
