אפל תיקנה חולשה שאפשרה לעמוד אינטרנט להריץ קוד על המכשיר שנכנס אליו. התיקון יצא בגרסאות iOS ו-iPadOS 15.6, macOS Monterey 12.5, Safari 15.6, tvOS 15.6 ו-watchOS 8.7. באוקטובר 2025, שלוש שנים אחרי שהתיקון פורסם, נכנסה החולשה לרשימת החולשות שתוקפים מנצלים בפועל.

מה החולשה?

כשאתם פותחים עמוד אינטרנט, הרכיב שמציג אותו מקבל מהעמוד נתונים ומסדר אותם בזיכרון ברשימות. כדי להגיע לפריט מסוים ברשימה התוכנה משתמשת במספר מקום, אינדקס, ולפני שהיא ניגשת היא אמורה לוודא שהמספר הזה נמצא באמת בתוך גבולות הרשימה.

הבדיקה הזאת לא נעשתה כראוי. עמוד שנבנה במיוחד יכול היה לגרום לתוכנה לקרוא או לכתוב מחוץ לגבולות, ומשם אפשר להגיע להרצת קוד על המכשיר. לסוג הבאג הזה קוראים אימות שגוי של אינדקס במערך, ואפל כתבה שהתיקון הוא הידוק של אותן בדיקות גבולות.

הציון הוא 8.8 מתוך 10. מה שמונע ממנו לטפס גבוה יותר הוא שצריך שמישהו יגיע לעמוד. החולשה לא מתפשטת מעצמה, היא מחכה לכניסה.

מי מושפע?

הרשומה מונה חמש מערכות הפעלה ודפדפן: iOS ו-iPadOS לפני 15.6, macOS מגרסה 12.0.0 ולפני 12.5, Safari לפני 15.6, tvOS לפני 15.6 ו-watchOS לפני 8.7. כלומר אייפון, אייפד, מק, שעון אפל ו-Apple TV.

בישראל זה נוגע לחלק גדול מהציבור, כי אייפון הוא מכשיר נפוץ מאוד בארץ. מצד שני, הגרסאות שסוגרות את החולשה יצאו ב-2022, וכל מי שמעדכן את המכשיר באופן שוטף עבר אותן מזמן. מי שכן נמצא בסיכון הוא מי שנשאר מאחור: מכשיר ישן שכבר אינו מקבל עדכונים, אייפד שמונח במגירה וממשיך לשמש לגלישה מדי פעם, או Apple TV שאיש לא נגע בהגדרות שלו שנים.

האם מנוצלת בפועל?

כן. ב-20 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בפועל, והמועד שנקבע לגופים הפדרליים האמריקאיים לסגור אותה היה 10 בנובמבר 2025.

שימו לב לפער בתאריכים. אפל הוציאה את התיקון ב-2022, והחולשה נכנסה לקטלוג רק בסוף 2025. הרשומה אינה מפרטת מי מנצל אותה או נגד מי.

מה עושים?

1. בדקו איזו גרסה מותקנת אצלכם. באייפון ובאייפד: הגדרות, כללי, אודות, ושם מופיעה גרסת התוכנה. במק: תפריט אפל בפינה ואז About This Mac.
2. אם אתם מתחת ל-15.6 באייפון או באייפד, או מתחת ל-12.5 במק, עדכנו דרך הגדרות, כללי, עדכון תוכנה.
3. אל תשכחו את המכשירים שלא מעדכנים את עצמם ביוזמתם. Apple TV צריך tvOS 15.6 ומעלה, ושעון אפל צריך watchOS 8.7 ומעלה. את השעון מעדכנים גם דרך אפליקציית Watch בטלפון.
4. אם המכשיר ישן מכדי לקבל את העדכון, אין עבורו תיקון. במקרה כזה כדאי להפסיק לגלוש ממנו, כי הכניסה לאתר היא בדיוק הדרך שבה החולשה מנוצלת.