СИДНЕЙ, 18 января 2026, 21:27 AEDT
- Apple заявляет, что две уязвимости WebKit могли быть использованы в «чрезвычайно сложных» целевых атаках на iOS версий до iOS 26
- Исправления включены в iOS 26.2 для новых iPhone и iOS 18.7.3 для старых моделей, согласно спискам безопасности Apple
- Судя по данным отслеживания, распространение iOS 26.2 идет неравномерно, оставляя длинный хвост устройств на старом ПО
Apple призывает пользователей iPhone обновить и перезагрузить свои устройства после того, как компания раскрыла исправления для двух уязвимостей WebKit, которые, по ее словам, могли быть использованы в «чрезвычайно сложной» атаке против конкретных целевых лиц на iOS до версии iOS 26. (Apple Support)
Уязвимости находятся в WebKit — движке браузера, который лежит в основе Safari и обрабатывает большую часть веб-контента на iPhone. Одна из ошибок (CVE-2025-43529) могла позволить «произвольное выполнение кода» через специально созданный вредоносный веб-контент — проще говоря, злоумышленник мог бы запустить код на устройстве после загрузки пользователем вредоносного веб-материала. (NVD)
Это важно сейчас, потому что значительная часть пользователей iPhone, по-видимому, все еще использует старое ПО. По данным StatCounter за декабрь, iOS 26.2 установлена на 1,97% устройств, и компания предупредила, что iOS 26 ошибочно отображается как iOS 18.7 и 18.6 в Safari, что затрудняет анализ ситуации. (StatCounter Global Stats)
Apple выпустила iOS 26.2 для iPhone 11 и новее, а также iOS 18.7.3 для таких устройств, как iPhone XS, XS Max и XR, обе 12 декабря 2025 года, согласно списку релизов по безопасности. В этот же пакет обновлений вошли новые версии Safari 26.2, а также watchOS, tvOS и visionOS. (Apple Support)
Австралийское издание The New Daily за последние сутки выделило кампанию по перезагрузке и обновлению, описав происходящее как целевые взломы и шпионское ПО, а также отметив, что группа анализа угроз Google работала вместе с Apple над устранением инцидента. (The New Daily)
В инструкции поддержки Apple говорится, что пользователи могут обновиться по беспроводной сети, перейдя в Настройки, затем Основные, затем Обновление ПО и нажав Загрузить и установить, если обновление доступно. «Обновление программного обеспечения — одна из самых важных вещей, которые вы можете сделать для обеспечения безопасности вашего устройства Apple», — заявили в Apple. (Apple Support)
Питер Арнтц, исследователь по вредоносному ПО в Malwarebytes, написал, что перезагрузка может быть практической временной мерой, потому что «при перезагрузке устройства любое вредоносное ПО, находящееся в памяти, удаляется» — если только оно не получило постоянства. Он также предостерег от самоуспокоенности: «Я не цель» — это не рабочая стратегия безопасности, написал он. (Malwarebytes)
Тем не менее, Apple не уточнила, кто был целью или сколько устройств могло пострадать, а перезагрузка не заменяет установку патча. Если устройство уже скомпрометировано и у злоумышленника есть способ вернуться — или если инструмент переживает перезагрузку — перезапуск дает лишь время, но не закрывает уязвимость.
Для большинства пользователей вывод прост: установите последнюю версию iOS, доступную для вашей модели, затем перезагрузите устройство. Для веб-атак не требуется установка приложения пользователем, а длительная задержка между выпуском патча и его установкой — это то окно, которым обычно пользуются целевые атаки.
