קובץ PDF אחד, ובתוכו גופן שנבנה במיוחד כך שהקואורדינטות של האותיות שלו גדולות מדי. זה כל מה שצריך כדי להפיל אייפון או מק שלא קיבלו את העדכון שאפל פרסמה ב-28 בספטמבר. ביום רביעי פורסמו הקובץ הזה והסקריפטים שמייצרים אותו במאגר ציבורי ב-GitHub.

מה קרה

את הניתוח פרסמו דיון בלאזאקיס, ג'וש מיין ואנה גרוזה מחברת Calif, שעוסקת במשטחי תקיפה באפליקציות הודעות. הם התחילו מהשוואה פומבית בין הקבצים הבינאריים של iOS 26.7 ו-26.7.1: הספרייה היחידה שהשתנתה הייתה CoreGraphics, הרכיב שמצייר על המסך טקסט, תמונות וקובצי PDF, ואותו תיקון חזר בה יותר מעשרים פעם בשמונה פונקציות ציור.

כדי לדעת כמה זיכרון להקצות לציור של אות, CoreGraphics מתרגם את הקואורדינטות שלה ממספר עשרוני למספר שלם. בשתיים מהפונקציות ערך שיצא מחוץ לטווח טופל אחרת: אחת החזירה אותו לגבול המותר, והשנייה חתכה אותו וקיבלה מספר אחר לגמרי. התוצאה: מסגרת מידות צרה מדי לאות, הקצאת זיכרון קטנה ממה שנדרש, וכתיבה מעבר לקצה שלה. את החולשה, CVE-2026-86950, אפל סגרה ב-iOS ו-iPadOS 26.7.1, וביום למחרת CISA הכניסה אותה לרשימת החולשות המנוצלות בפועל ודרשה מהסוכנויות הפדרליות לעדכן עד 2 באוקטובר. את העדכון עצמו כיסינו בתחילת השבוע.

מה שהקוד שפורסם עושה הוא להפיל את התהליך, לא להשתלט עליו. Calif כותבת שהכתיבה מחוץ לגבולות מבוקרת ויושבת בשטח שהתוקף שולט בו, אבל הדרך מכאן להרצת קוד אמיתית היא עבודה נפרדת שהחוקרים לא הדגימו. הם גם לא קיבלו את הקובץ שהיה בשימוש בפועל, ולכן אינם יודעים איך התוקף השלים את השרשרת.

ולמה בכלל וואטסאפ? כי מי שדיווח לאפל על החולשה הוא צוות אבטחת המוצר של מטא. החוקרים השוו שתי גרסאות של וואטסאפ, 26.37.73 ו-26.38.74, ומצאו בחדשה בדיקה שלא הייתה שם: סורק הקבצים המצורפים קורא קובצי PDF, מחפש בהם גופנים מוטמעים ומסמן גופן חשוד בשלוש התראות שמעלות את ציון הסיכון של הקובץ ועוצרות את הפירסור האוטומטי שלו. Calif קוראת לזה ראיה נסיבתית בלבד. הגרסה הראשונה של הפרסום אמרה יותר מזה, וטענה שוואטסאפ עלולה להעביר קובץ כזה כשנפתחת שיחה מאיש קשר מוכר והורדת המדיה האוטומטית פעילה. המשפט הוסר 85 דקות אחרי הפרסום, במחיקה של מנכ"ל Calif ת'אי דואונג, שתיאר אותה כהסרת ההשערה לגבי וואטסאפ. מטא לא הגיבה לשאלת The Hacker News.

למה זה חשוב לכם

הרשימה שאפל פרסמה כוללת אייפון 11 ואילך, רוב דגמי האייפד ומחשבי מק. מה שהשתנה הוא לא עוצמת החולשה אלא הזמינות שלה: עד השבוע היא הייתה בידי מי שתקף אנשים ספציפיים, והיום כל אחד יכול להוריד קובץ שמדגים אותה ולהמשיך משם. למי שלא יכול לעדכן אפל לא הציעה שום הגנה חלופית.

מה עושים?

עדכנו את האייפון או האייפד ל-iOS או iPadOS 26.7.1 ומעלה, ואת המק ל-macOS Tahoe 26.7.1 או Sequoia 15.8.1. בטלפון: הגדרות, כללי, עדכון תוכנה.

עדכנו גם את וואטסאפ מחנות האפליקציות. בדיקת הגופנים החדשה קיימת רק בגרסאות החדשות.

כדי לצמצם חשיפה לקבצים שמגיעים מעצמם, כבו את ההורדה האוטומטית בוואטסאפ: הגדרות, אחסון ונתונים, הורדה אוטומטית של מדיה.

עיתונאים, פעילים ואנשי ציבור יכולים להפעיל באייפון את מצב נעילה (Lockdown Mode), שחוסם מראש חלק מנתיבי הפירסור של קבצים נכנסים. אפל לא אמרה אם הוא היה עוצר דווקא את המתקפה הזאת.

הפער בין להפיל מכשיר לבין להשתלט עליו אמיתי, והוא נסגר בדרך כלל בשקט. העדכון יצא לפני שלושה ימים, וזה הזמן להתקין אותו.