החולשה הזאת אינה נקודת הכניסה, היא הסרה של המחסום שבא אחריה. לפי הרשומה, תוקף שכבר השיג יכולת לקרוא ולכתוב בזיכרון באופן חופשי היה יכול לעקוף את Pointer Authentication, מנגנון ההגנה של אפל על מצביעים. אפל תיקנה את זה בהסרה של הקוד הפגיע, והיא מציינת דיווח שלפיו ייתכן שהחולשה נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים ב-iOS.

מה החולשה?

כדי להבין מה נעקף כאן צריך רגע על מה שאמור להגן. כשתוקף מצליח לכתוב לזיכרון במקום שלא נועד לו, היעד הבא שלו הוא בדרך כלל מצביע, כלומר ערך ששמור בזיכרון ואומר למעבד לאן לקפוץ בהמשך. מי שמחליף מצביע כזה בכתובת שהוא בחר מפנה את זרימת הריצה אל הקוד שלו.

אפל מוסיפה למצביעים האלה חתימה קריפטוגרפית. לפני שהמעבד קופץ לכתובת שבמצביע הוא בודק שהחתימה תואמת, ומצביע שנדרס בידי תוקף אינו נושא חתימה תקפה, אז הקפיצה נעצרת. לשכבה הזאת קוראים Pointer Authentication.

החולשה נותנת דרך לעקוף את הבדיקה הזאת. המשמעות המעשית היא שבאג זיכרון שהיה אמור להיעצר בשכבה הזאת חוזר להיות הרצת קוד.

זה גם מסביר את התנאי שהרשומה מציבה, תוקף שכבר יש לו קריאה וכתיבה חופשיות. במילים אחרות, צריך כבר להיות בפנים. שווה להחזיק את זה יחד עם הציון: הרשומה נותנת 9.8 לפי ווקטור שמדבר על פנייה מהרשת בלי הרשאות, בעוד התיאור מציב תנאי מקדים ממשי.

מי מושפע?

לפי הרשומה, iPhone ו-iPad בגרסאות שלפני 18.4.1, macOS Sequoia מ-15.0 ועד 15.4.1, tvOS שלפני 18.4.1 ו-visionOS שלפני 2.4.1. שימו לב ש-watchOS אינו מופיע ברשימה של החולשה הזאת.

מבחינת המשתמש בישראל התשובה המעשית פשוטה: אם הטלפון על 18.4.1 ומעלה, או המק על 15.4.1 ומעלה, אתם מחוץ לטווח. העדכונים האלה פורסמו באפריל 2025, כך שרוב מי שמעדכן בכלל כבר עברם.

האם מנוצלת בפועל?

כן, לפי אפל ולפי CISA. הניסוח של אפל זהיר במכוון: דיווח שלפיו ייתכן שהחולשה נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים שסומנו כמטרה ב-iOS. מי תקף, את מי ומתי, אפל אינה אומרת.

ב-17 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-8 במאי 2025.

עקיפה של מנגנון הגנה לבדה אינה תקיפה. היא מופיעה כחוליה, לצד חולשה אחרת שמספקת את הקריאה והכתיבה שהתיאור מניח שיש לתוקף.

מה עושים?

1. עדכנו את הטלפון ואת הטאבלט. הגדרות, כללי, עדכון תוכנה. היעד הוא 18.4.1 ומעלה.

2. עדכנו את המק. הגדרות מערכת, כללי, עדכון תוכנה, היעד 15.4.1 ומעלה.

3. עדכנו גם את Apple TV אל 18.4.1 ואת Vision Pro אל 2.4.1. שניהם ברשימה של החולשה הזאת, ושניהם מכשירים שנוטים להישאר מאחור כי אף אחד לא בודק אותם.

4. בדקו את הגרסה שמותקנת בפועל ואל תסתמכו על ההנחה שהמכשיר התעדכן. במסך עדכון התוכנה כתוב מה מותקן עכשיו, וזה הנתון היחיד שקובע.

5. אם אתם מנהלים צי מכשירים בארגון, דפי העדכון של אפל מפרטים אילו חולשות נסגרו בכל מהדורה. זו הרשימה שמולה כדאי להצליב את מה שמותקן בשטח.