לפי הרשומה, עיבוד של זרם אודיו בתוך קובץ מדיה שנבנה בזדון היה יכול להוביל להרצת קוד על מכשירי אפל. אפל תיקנה את זה בשיפור בדיקת הגבולות בזיכרון, והיא מציינת שהיא מודעת לדיווח שלפיו ייתכן שהחולשה נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים שסומנו כמטרה, בגרסאות iOS שקדמו ל-18.4.1. הציון הוא 9.8, ו-CISA רשמה את החולשה כמנוצלת בשטח ב-17 באפריל 2025.

מה החולשה?

קובץ מדיה אינו רק תוכן. הוא גם הוראות: באיזה קידוד השמע, באיזה קצב, איך מחולקים המקטעים ומה האורך של כל אחד. הקוד שמנגן את הקובץ קורא את ההוראות האלה ומקצה לפיהן זיכרון.

כשהקובץ הגיע ממקור שאינכם מכירים, ההוראות שבתוכו הן קלט של תוקף. אם הקוד סומך עליהן ומעתיק נתונים לפי מספר שהגיע מהקובץ, בלי לוודא שהם באמת נכנסים במקום שהוקצה, הכתיבה חורגת מהגבול ודורסת זיכרון סמוך. לזה קוראים שחיתות זיכרון, והתיקון של אפל, לפי הרשומה, הוא בדיוק הבדיקה החסרה הזאת.

מה שהופך את זה לחמור הוא הנתיב. קובץ מדיה מגיע למכשיר בלי שביקשתם אותו: בהודעה, בדף אינטרנט, בקובץ שנשלח בצ'אט. הרשומה מדברת על עיבוד של הזרם, לא על לחיצה על כפתור.

מי מושפע?

לפי הרשומה, כמעט כל משפחת המכשירים של אפל: iPhone ו-iPad בגרסאות שלפני 18.4.1, macOS Sequoia מ-15.0 ועד 15.4.1, tvOS שלפני 18.4.1, visionOS שלפני 2.4.1, ו-watchOS שלפני 11.5.

בישראל זה נוגע לחלק גדול מהציבור, כי האייפון נפוץ כאן מאוד והרשימה כוללת גם שעונים וגם מחשבים. מי שמעדכן את המכשיר באופן סדיר עבר את הגרסאות האלה מזמן, מדובר בעדכונים מאפריל 2025. מי שדוחה עדכונים באופן קבוע, או מחזיק מכשיר שנשאר מאחור, עדיין בטווח.

האם מנוצלת בפועל?

כן, ובאופן ממוקד מאוד. הניסוח של אפל זהיר: היא מודעת לדיווח שלפיו ייתכן שהחולשה נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים שסומנו כמטרה. אפל אינה אומרת מי תקף, את מי, ועל סמך מה נקבע הדיווח.

ב-17 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-8 במאי 2025.

ניסוח מהסוג הזה חוזר בחולשות שמשמשות בריגול ממוקד ולא בתקיפה רחבה. זה אינו אומר שהמשתמש הרגיל פטור מלעדכן, אלא שהסיכון הישיר שלו נמוך מהמספר 9.8.

מה עושים?

1. עדכנו את הטלפון. באייפון ובאייפד: הגדרות, כללי, עדכון תוכנה. היעד הוא 18.4.1 ומעלה.

2. עדכנו את המק. הגדרות מערכת, כללי, עדכון תוכנה. ב-Sequoia היעד הוא 15.4.1 ומעלה.

3. אל תשכחו את המכשירים שאף אחד לא נכנס אליהם. Apple TV אל 18.4.1, Apple Watch אל 11.5, ו-Vision Pro אל 2.4.1. אלה בדיוק המכשירים שנשארים שנים על גרסה ישנה.

4. הפעילו עדכונים אוטומטיים באותו מסך של עדכון תוכנה. בחולשות מהסוג הזה ההפרש בין לעדכן היום לבין לעדכן בעוד חודש הוא ההפרש שקובע.

5. אם יש אצלכם מכשיר ישן שאי אפשר לעדכן אותו לגרסאות האלה, הימנעו בו מפתיחת קבצי מדיה שהגיעו ממקור שאינכם מכירים. נקודת הכניסה כאן היא עיבוד של קובץ.