Apple heeft iOS, iPadOS en macOS bijgewerkt tegen in totaal bijna 500 kwetsbaarheden, verdeeld over twee advisories die het Nationaal Cyber Security Centrum publiceerde. Advisory NCSC-2026-0456 gaat over iOS en iPadOS, NCSC-2026-0455 over macOS. Beide kregen van het NCSC de prioriteit “normaal”, maar bevatten wel degelijk kwetsbaarheden met een kritieke of hoge CVSS-score.
iOS en iPadOS
NCSC-2026-0456 telt ongeveer 190 kwetsbaarheden, verspreid over onder meer beeldverwerking, video, audio, fonts, PDF-bestanden, webcontent en systeemonderdelen als Keychain, Bluetooth en het Thread-netwerk. Het gaat vooral om out-of-bounds lees- en schrijffouten, use-after-free-fouten, integer overflows, type confusion en onjuiste autorisatiecontroles, naast onvoldoende validatie van symbolische links en race conditions. Negen kwetsbaarheden scoren 8,8 op de CVSS-schaal, waaronder CVE-2026-64759, CVE-2026-112623 en CVE-2026-112688. Een van die negen is CVE-2026-86950, de CoreGraphics-zero-day waarover deze site vorige week al schreef nadat Apple de patch ervoor ook naar oudere iPhones en iPads backportte. Verder bevat de advisory nog een ouder lek, CVE-2019-5598, met score 7,5. Het NCSC noemt geen actief misbruik van de overige kwetsbaarheden en geeft geen proof-of-concept-details.
macOS
NCSC-2026-0455 is met ongeveer 299 kwetsbaarheden nog omvangrijker. De patches zitten in macOS Golden Gate 27.2, Sequoia 15.8.2, Tahoe 26.7.2 en Monterey 12.7.6, en zijn ook doorgevoerd in tvOS, visionOS en watchOS. (Het NCSC corrigeerde de advisory achteraf: een eerdere versie noemde abusievelijk Monterey 12.4 als nieuwste release.) Naast de fouttypes die ook bij iOS en iPadOS voorkomen, noemt het NCSC hier classic buffer overflows, race conditions, onveilige tijdelijke bestanden, double frees en Gatekeeper-omzeilingen. De zwaarste kwetsbaarheid is CVE-2026-64767 met een CVSS-score van 9,8. Daarnaast scoort CVE-2026-65327 een 8,4, en een reeks van acht andere lekken, waaronder CVE-2026-112438 en CVE-2026-113947, komt op 8,8 uit. Volgens het NCSC kunnen aanvallers deze kwetsbaarheden gebruiken om rechten te verhogen, de sandbox te omzeilen, kernelgeheugen of gebruikersdata te benaderen of toepassingen te laten crashen.
Voor Nederlandse organisaties met een Apple-park is dit een update om niet op de lange baan te schuiven, zeker gezien de 9,8-score in de macOS-advisory en het feit dat één van de verholpen iOS-lekken al bij gerichte aanvallen is gebruikt. Forceer de installatie via MDM voor zakelijke iPhones, iPads en Macs. Particuliere gebruikers kunnen volstaan met de gewone toestelupdate via Instellingen of Systeeminstellingen, maar doen dat het beste zo snel mogelijk.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u zakelijke Apple-apparaten centraal? Forceer de update naar iOS/iPadOS 27.2, macOS Golden Gate 27.2, Sequoia 15.8.2, Tahoe 26.7.2 of Monterey 12.7.6 via MDM, in plaats van te wachten tot medewerkers zelf updaten.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.