תוכן אינטרנט בנוי במיוחד יכול היה לגרום למנוע האתרים של אפל לכתוב מחוץ לגבולות הזיכרון שהוקצו לו, ומשם לצאת מתוך התא המבודד שכל דף אמור להישאר כלוא בו. אפל מתארת את מה שהוציאה כתיקון משלים לתקיפה שכבר נחסמה ב-iOS 17.2. הציון ברשומה הוא 10 מתוך 10, הגבוה ביותר האפשרי, והחולשה נכנסה לקטלוג החולשות המנוצלות של CISA ב-13 במרץ 2025.

מה החולשה?

דפדפן מריץ כל דף בתוך תהליך נפרד ומוגבל, ומה שרץ שם אמור להישאר שם גם אם הוא זדוני. התא הזה נקרא sandbox, ארגז חול, והוא הקיר שמפריד בין אתר אקראי שנפתח בכרטיסייה לבין שאר המכשיר.

הבאג עצמו הוא בטיפול בזיכרון. הרכיב מקצה שטח בזיכרון לפי מה שהוא מצפה לקבל, ותוכן שנבנה כדי לחרוג ממה שהוקצה גורם לו להמשיך לכתוב אל מה שיושב מעבר לגבול. משם אפשר לשבש מבנים אחרים בזיכרון ולהשתלט על מהלך הריצה. ברשומה זה מסומן CWE-787, כתיבה מחוץ לגבולות הזיכרון, ואפל כותבת שהיא סגרה אותו בבדיקות משופרות.

הפרט שמסביר את הציון המלא נמצא בווקטור: היקף התקיפה מסומן כמשתנה. זו הדרך הפורמלית לומר שהנזק חוצה את הגבול שהרכיב הפגיע היה אמור להחזיק. לא מדובר בדף שמשבש את עצמו, אלא בדף שיוצא מהתא שנועד לכלוא אותו, וזה מה שמעלה את הדירוג לעשר.

ויש כאן עוד שכבה ששווה להבין, כי היא משנה את מה שכל אחד צריך לעשות. אפל מגדירה את התיקון הזה כמשלים לתקיפה שנחסמה ב-iOS 17.2. כלומר החסימה הקודמת עצרה את הדרך שבה השתמשו בפועל, אבל החולשה שעמדה מאחוריה נשארה פתוחה. מכשיר שקיבל את iOS 17.2 כבר לא היה חשוף לאותה תקיפה, והוא עדיין היה חשוף לחולשה.

מי מושפע?

רשימת הגרסאות כאן רחבה במיוחד, וזה עצמו סימן: אפל לא הסתפקה בגרסאות הנוכחיות אלא חזרה אחורה גם לענפים ותיקים מאוד. התיקון נמצא ב-Safari 18.3.1, ב-iOS וב-iPadOS בגרסאות 15.8.4, 16.7.11 ו-18.3.2, ב-iPadOS 17.7.6, ב-macOS Sequoia 15.3.2, ב-visionOS 2.3.2 וב-watchOS 11.4.

בפועל זה אומר שכמעט כל מי שמחזיק מכשיר אפל שלא עודכן נמצא בתמונה, כולל בעלי דגמים ישנים שכבר אינם מקבלים את הגרסה הראשית. בישראל, שבה נתח האייפון גבוה, זה קהל גדול.

מה שכן, כדאי להחזיק את הפרופורציה. הניצול שאפל מדווחת עליו נוגע לגרסאות שלפני iOS 17.2 ולאנשים שסומנו כמטרה, ולא לגלישה יומיומית של הציבור הרחב.

האם מנוצלת בפועל?

אפל מסרה שהיא מודעת לדיווח לפיו החולשה ייתכן שנוצלה בתקיפה מתוחכמת במיוחד נגד יחידים ספציפיים שסומנו כמטרה, בגרסאות שלפני iOS 17.2. שווה להשאיר את הניסוח מסויג כפי שאפל ניסחה אותו, כולל את ההגבלה לגרסאות הישנות.

CISA הוסיפה את החולשה ב-13 במרץ 2025 לקטלוג ה-KEV שלה, קטלוג שמאגד חולשות שנצפה בהן שימוש בתקיפות, וקבעה לגופים הפדרליים האמריקאיים לסיים את הטיפול עד 3 באפריל 2025.

מה עושים?

1. עדכנו את המכשיר. ב-iPhone וב-iPad: הגדרות, אחר כך כללי, אחר כך עדכון תוכנה. היעד הוא 18.3.2, או אחת הגרסאות לדגמים ותיקים יותר: 17.7.6 ב-iPad, 16.7.11 או 15.8.4 במכשירים ישנים.

2. בדקו ידנית גם אם נדמה לכם שהמכשיר מעודכן. הענפים הישנים קיבלו כאן עדכון ייעודי, וזה בדיוק המקרה שבו מכשיר שלא רואה את הגרסה הראשית עדיין מחכה לעדכון שרלוונטי לו.

3. ב-Mac: תפריט אפל, הגדרות מערכת, כללי, עדכון תוכנה. היעד הוא macOS Sequoia 15.3.2. עדכון המערכת מטפל גם ב-Safari, שאינו מתעדכן בנפרד ממנה. במחשב שמריץ גרסת Safari עצמאית, היעד הוא 18.3.1.

4. אל תדלגו על שאר המכשירים באותו חשבון. ב-Apple Watch העדכון נעשה דרך אפליקציית Watch בטלפון והיעד הוא watchOS 11.4, וב-Apple Vision Pro היעד הוא visionOS 2.3.2. הרשימה המלאה מופיעה בהודעות האבטחה של אפל.