Apple выпустила обновления безопасности, устраняющие две уязвимости в групповых чатах iMessage. Первая, CVE-2026-113961, могла позволить удалённому злоумышленнику присоединиться к чату и получать его сообщения. Apple описывает проблему как ошибку авторизации; исправление основано на улучшенной проверке доступа.
Вторая уязвимость iMessage, CVE-2026-113960, затрагивала историю переписки: добавленный в группу человек мог получить доступ к сообщениям, отправленным до его присоединения. Apple не уточнила, использовали ли эти уязвимости в атаках, какие условия нужны для их эксплуатации и увидели бы участники чата незваного собеседника. Неясно и то, должны ли обновиться все участники группы, чтобы переписка была защищена.
Отдельные обновления вышли для каждой версии операционных систем. В бюллетене безопасности iOS и iPadOS 27.2.1 перечислены обе уязвимости iMessage и проблема в библиотеке сжатия Brotli. На странице Apple со списком выпусков безопасности есть ссылки на примечания ко всем обновлениям.
При этом примечания к iOS 18.7.12 и watchOS 26.6.1 содержат сведения о других исправлениях, но не упоминают уязвимости iMessage и Brotli. Эти проблемы также не перечислены в описаниях обновлений для iPhone XS, iPhone XS Max, iPhone XR, iPad седьмого поколения и некоторых моделей Apple Watch. Apple не сообщила, затронуты ли уязвимостями устройства на этих версиях. Обходного решения для тех, кто пока не может установить обновление, компания не предложила.
Уязвимость Brotli получила номер CVE-2026-111497. Ошибка записи за пределами выделенной области памяти в декодере библиотеки могла позволить специально сформированным данным повредить память. Те же обновления, что устраняют проблемы iMessage, исправляют и эту ошибку; сведений об атаках с её использованием Apple не приводит.
Однако 27 октября Агентство кибербезопасности и безопасности инфраструктуры США (CISA) внесло CVE-2026-111497 в каталог известных эксплуатируемых уязвимостей. В записи затронутым продуктом названа Google Brotli; CISA также указывает, что этот компонент может использоваться в разных продуктах.
Все девять выпущенных обновлений исправляют уязвимости Bluetooth и AirPlay. Две из них могли позволить вредоносному Bluetooth-устройству или злоумышленнику в пределах радиуса Bluetooth выполнить сопряжение без участия пользователя. Что именно можно было сделать после сопряжения, Apple не пояснила.
Ещё две уязвимости позволяли обходить ограничение на число попыток ввода кода сопряжения: одну можно было использовать в зоне действия Bluetooth, другую — находясь в той же сети. Ещё одна проблема могла дать злоумышленнику поблизости возможность повредить память процесса.
Изображение носит иллюстративный характер
Вторая уязвимость iMessage, CVE-2026-113960, затрагивала историю переписки: добавленный в группу человек мог получить доступ к сообщениям, отправленным до его присоединения. Apple не уточнила, использовали ли эти уязвимости в атаках, какие условия нужны для их эксплуатации и увидели бы участники чата незваного собеседника. Неясно и то, должны ли обновиться все участники группы, чтобы переписка была защищена.
Отдельные обновления вышли для каждой версии операционных систем. В бюллетене безопасности iOS и iPadOS 27.2.1 перечислены обе уязвимости iMessage и проблема в библиотеке сжатия Brotli. На странице Apple со списком выпусков безопасности есть ссылки на примечания ко всем обновлениям.
При этом примечания к iOS 18.7.12 и watchOS 26.6.1 содержат сведения о других исправлениях, но не упоминают уязвимости iMessage и Brotli. Эти проблемы также не перечислены в описаниях обновлений для iPhone XS, iPhone XS Max, iPhone XR, iPad седьмого поколения и некоторых моделей Apple Watch. Apple не сообщила, затронуты ли уязвимостями устройства на этих версиях. Обходного решения для тех, кто пока не может установить обновление, компания не предложила.
Уязвимость Brotli получила номер CVE-2026-111497. Ошибка записи за пределами выделенной области памяти в декодере библиотеки могла позволить специально сформированным данным повредить память. Те же обновления, что устраняют проблемы iMessage, исправляют и эту ошибку; сведений об атаках с её использованием Apple не приводит.
Однако 27 октября Агентство кибербезопасности и безопасности инфраструктуры США (CISA) внесло CVE-2026-111497 в каталог известных эксплуатируемых уязвимостей. В записи затронутым продуктом названа Google Brotli; CISA также указывает, что этот компонент может использоваться в разных продуктах.
Все девять выпущенных обновлений исправляют уязвимости Bluetooth и AirPlay. Две из них могли позволить вредоносному Bluetooth-устройству или злоумышленнику в пределах радиуса Bluetooth выполнить сопряжение без участия пользователя. Что именно можно было сделать после сопряжения, Apple не пояснила.
Ещё две уязвимости позволяли обходить ограничение на число попыток ввода кода сопряжения: одну можно было использовать в зоне действия Bluetooth, другую — находясь в той же сети. Ещё одна проблема могла дать злоумышленнику поблизости возможность повредить память процесса.
