אפל שחררה תיקון לחולשה שאפשרה לתוכן אינטרנט שנבנה במיוחד להריץ קוד על המכשיר שפותח אותו. היא נוגעת כמעט לכל שורת המוצרים של החברה, מאייפון ועד שעון, והציון שלה הוא 8.8 מתוך 10. אפל עצמה מסרה שהיא מודעת לדיווח על ניצול של החולשה במתקפה ממוקדת, ו-CISA הכניסה אותה לרשימת החולשות המנוצלות בפועל.

מה החולשה?

תוכנה שמעבדת תוכן מקצה לעצמה אזורי זיכרון ומשחררת אותם כשהיא מסיימת איתם. הבאג כאן הוא שהתוכנה המשיכה להתייחס לאזור שכבר שוחרר, כאילו התוכן שהיה שם עדיין תקף. בינתיים אותו אזור כבר יכול היה להימסר למשהו אחר לגמרי.

מכאן מתחיל המשחק של התוקף: הוא בונה עמוד שגורם לשחרור בתזמון הנכון וממלא את האזור בתוכן שהוא בחר. התוכנה ממשיכה לעבוד עם מה שהיא חושבת שהיא הקצתה, ומריצה בפועל את מה שהושתל. לתבנית הזאת קוראים use after free. אפל מתארת את התיקון כשיפור בניהול הזיכרון.

מה שהופך את זה לרציני במיוחד הוא שנקודת הכניסה היא כניסה לאתר. לא צריך להתקין דבר ולא לאשר שום בקשה חריגה.

מי מושפע?

הרשימה רחבה, כי מנוע עיבוד התוכן משותף לכל מוצרי אפל. החולשה תוקנה ב-Safari 26.2, ב-iOS וב-iPadOS בגרסאות 18.7.3 ו-26.2, ב-macOS Tahoe 26.2, ב-tvOS 26.2, ב-visionOS 26.2 וב-watchOS 26.2. כל גרסה שקודמת לאלה נמצאת בטווח.

בישראל, שבה אייפון הוא מכשיר נפוץ מאוד, זה אומר שהחולשה נגעה בשלב מסוים לחלק גדול מהמשתמשים. שימו לב שאפל תיקנה גם את הקו הישן, 18.7.3, ולא רק את הגרסה האחרונה, כך שגם מכשיר שלא עבר לגרסה 26 מקבל תיקון.

האם מנוצלת בפועל?

כן, ובניסוח זהיר. אפל מסרה שהיא מודעת לדיווח שלפיו החולשה ייתכן שנוצלה במתקפה מתוחכמת במיוחד נגד אנשים מסוימים שהיו מטרה, בגרסאות שקדמו ל-iOS 26. זו הלשון שהחברה שומרת למקרים של תקיפה ממוקדת ולא של קמפיין רחב. באותה נשימה מציינת הרשומה ש-CVE-2025-14174 הונפק בתגובה לאותו דיווח.

CISA הוסיפה את החולשה לקטלוג ה-KEV שלה ב-15 בדצמבר 2025, ולגופים פדרליים נקבע מועד תיקון עד ה-5 בינואר 2026. עבור המשתמש הביתי הסיכון האישי נמוך יחסית, כי מתקפה ממוקדת אינה מכוונת אליו. זו סיבה טובה לעדכן ברוגע, לא סיבה לא לעדכן.

מה עושים?

באייפון ובאייפד, היכנסו להגדרות, ומשם לכללי ולעדכון תוכנה. הגרסה שסוגרת את החולשה היא 26.2, או 18.7.3 אם המכשיר שלכם נשאר בקו הישן.

במק, עדכנו ל-macOS Tahoe 26.2 דרך הגדרות המערכת. אם אתם משתמשים ב-Safari על מק, ודאו שהוא בגרסה 26.2, והיא מגיעה יחד עם עדכון המערכת.

לא לשכוח את המכשירים שמתעדכנים לבד לעיתים רחוקות: Apple TV דורש tvOS 26.2 ושעון Apple Watch דורש watchOS 26.2. אלה בדיוק המכשירים שנשארים מאחור, כי אף אחד לא ניגש אליהם ביוזמתו.