כל מה שצריך כדי להפעיל את החולשה הזאת הוא שהמכשיר יעבד קובץ: תמונה שהגיעה בהודעה, מסמך שנפתח, קובץ שאפליקציה טוענת ברקע. הרכיב שמצייר את הדברים האלה על המסך באייפון נקרא CoreGraphics, ובגרסה לא מתוקנת הוא כותב נתונים מחוץ לאזור הזיכרון שהוקצה לו. משם אפשר להגיע להרצת קוד על המכשיר.

מה קרה

אפל פרסמה ב-26 באוקטובר את iOS 18.7.11 ואת iPadOS 18.7.11, עדכון שמיועד למכשירים שכבר לא מקבלים את הגרסאות החדשות: אייפון XS, XS Max ו-XR ואייפד מהדור השביעי. יש בו שלושה תיקוני אבטחה, והמרכזי הוא CVE-2026-86950, אותה חולשת כתיבה מחוץ לתחום ב-CoreGraphics שאפל סגרה עוד ב-28 בספטמבר במכשירים החדשים יותר, בגרסאות iOS 26.7.1 ו-macOS Tahoe 26.7.1.

בהודעה של אפל מופיע משפט שהחברה שומרת למקרים נדירים: היא מודעת לדיווח שלפיו החולשה אולי נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים, בגרסאות iOS שלפני iOS 27. אפל לא אמרה מי הותקף, מי תקף, ולא אם התקיפה הצליחה. את החולשה דיווח צוות אבטחת המוצר של Meta, וזה כל מה שיש ברשומה הרשמית. שני התיקונים האחרים באותו עדכון שווים מילה: אחד סוגר דרך שבה אפליקציה יכלה לדלות מידע אישי, והשני סוגר מצב שבו אפליקציה זדונית יכלה לגשת למצלמה בלי שאישרתם לה.

למה זה חשוב לכם

אייפון XS ואייפון XR יצאו ב-2018, והם עדיין נפוצים מאוד בישראל, אצל מי שלא מחליף טלפון כל שנתיים ואצל ילדים שקיבלו מכשיר יד שנייה. תקיפות מהסוג שאפל מתארת, יקרות ומכוונות לאנשים מסוימים, לא מחפשות את רוב הקוראים כאן. אבל מהרגע שתיקון יוצא, הפרטים על החולשה מתחילים להתגלגל, והשאלה מי יכול להשתמש בה נפתחת מחדש. מכשיר שלא עודכן בשלב הזה הוא מכשיר שהחולשה בו גם פתוחה וגם מתועדת.

מה עושים?

באייפון או באייפד: הגדרות, כללי, עדכון תוכנה, ואז התקינו. בעלי אייפון XS, XS Max, XR או אייפד מהדור השביעי מחפשים את iOS 18.7.11 או iPadOS 18.7.11.

מכשירים חדשים יותר מקבלים את התיקון בגרסאות אחרות, שיצאו באותו יום. בדקו שאתם על iOS 26.7.2, על iOS 27.2 או על הגרסה שהמכשיר מציע לכם.

הדליקו עדכונים אוטומטיים באותו מסך, תחת עדכוני iOS אוטומטיים. זה מה שמקצר את הפער בין הרגע שתיקון יוצא לרגע שהוא באמת על המכשיר.

גם המק והאייפד שבבית צריכים את הסבב הזה: באותו יום יצאו macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 ו-macOS Golden Gate 27.2.

השורה שכדאי לקחת מכאן היא לא שמישהו מחפש אתכם. היא שמכשיר בן שמונה שנים עוד מקבל תיקון לחולשה שנוצלה בפועל, ושההתקנה לוקחת פחות זמן מהקריאה בכתבה הזאת.