Apple heeft een beveiligingspatch die vorige maand al naar nieuwere iPhones en iPads ging, nu ook teruggeport naar oudere modellen. Het gaat om CVE-2026-86950, een out-of-bounds write-kwetsbaarheid in CoreGraphics met een CVSS-score van 8.8, die Apple zelf als mogelijk actief misbruikt tegen specifieke doelwitten omschrijft.
Het lek werd ontdekt door Meta Product Security. Een aanvaller die een slachtoffer een kwaadaardig bestand laat verwerken, kan daarmee willekeurige code uitvoeren. Apple meldde in september dat het probleem mogelijk is ingezet bij een “extremely sophisticated attack” die zich richtte op specifieke, zorgvuldig geselecteerde personen op versies van iOS ouder dan iOS 27. Verdere details over wie daarachter zat of hoe de aanvalsketen precies verliep, heeft Apple niet vrijgegeven.
De oorspronkelijke patch kwam in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 en macOS Sequoia 15.8.1. Toestellen die deze nieuwere besturingssysteemversies niet meer kunnen draaien, bleven toen nog kwetsbaar. Apple heeft dat nu rechtgezet met iOS 18.7.11 en iPadOS 18.7.11, die beschikbaar zijn voor de iPhone XS, iPhone XS Max en iPhone XR, de iPad 7e generatie, de iPad Air vanaf de 4e generatie, de iPad vanaf de 9e generatie en de iPad mini vanaf de 6e generatie. Apple zegt het probleem te hebben opgelost met verbeterde bounds checking.
Hoewel Apple het misbruik tot nu toe beperkt noemt tot gerichte aanvallen op specifieke personen, is het raadzaam de update niet op de lange baan te schuiven. Zodra een kwetsbaarheid als deze breder bekend wordt, duurt het vaak niet lang voordat ook minder verfijnde aanvallers er misbruik van proberen te maken. Bezitters van een oudere iPhone of iPad die niet meer op de nieuwste hoofdversie van iOS of iPadOS kan, doen er daarom goed aan de update meteen te installeren via Instellingen > Algemeen > Software-update.
Bron: BleepingComputer en The Hacker News
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.