Apple אינה נוהגת לפרט מתי חולשה נוצלה, וכשהיא כן עושה זאת שווה לשים לב. בהודעה על החולשה הזאת היא כותבת שידוע לה על דיווח שלפיו היא נוצלה במתקפה מתוחכמת במיוחד נגד אנשים מסוימים שנבחרו כמטרה, בגרסאות iOS שקדמו ל-26. התיקון נמצא בגרסה 26.3.

מה החולשה?

מדובר בבאג בניהול הזיכרון. לפי התיאור, הבעיה נפתרה בניהול מצב משופר, ניסוח שמצביע על מצב שבו התוכנה מאבדת את המעקב אחרי המצב הנוכחי של אזור בזיכרון וממשיכה לפעול לפי הנחה שכבר אינה נכונה.

הדבר החשוב כאן אינו המנגנון אלא התנאי. הרשומה אומרת שהתוקף צריך יכולת כתיבה לזיכרון כדי לנצל את החולשה, כלומר עליו להחזיק כבר דריסת רגל כלשהי במכשיר. זו אינה חולשה שמישהו מפעיל נגדכם מרחוק בלי שום שלב מקדים.

ובדיוק בגלל זה היא מעניינת. חולשה כזאת אינה עומדת לבדה אלא מהווה חוליה בשרשרת: מישהו השיג יכולת כתיבה מוגבלת בדרך אחרת, וזו מה שמתרגם אותה להרצת קוד מלאה. Apple מציינת ברשומה ששתי חולשות נוספות, CVE-2025-14174 ו-CVE-2025-43529, הוצאו בתגובה לאותו דיווח עצמו, וכך בדיוק נראית שרשרת כזאת כשמפרקים אותה לחלקים.

הציון 7.8 מתוך 10 משקף את התנאי המקדים, לא את חומרת התוצאה.

מי מושפע?

הרשימה מכסה את כל משפחת המוצרים: iOS ו-iPadOS מתחת ל-26.3, macOS Tahoe מתחת ל-26.3, וכן tvOS, visionOS ו-watchOS מתחת ל-26.3.

בישראל זה נוגע לכל מי שמחזיק מכשיר Apple ולא עדכן אותו לגרסה 26.3 ומעלה, וזה חלק ניכר מהציבור. עם זאת, כדאי להיות מדויקים לגבי מידת הסיכון האישי. Apple מתארת מתקפה ממוקדת נגד אנשים מסוימים, לא קמפיין רחב, והפרופיל של מתקפות כאלה הוא של גורמים בעלי משאבים גדולים שבוחרים מטרות ספציפיות. הקורא הממוצע אינו המטרה של מתקפה מהסוג הזה.

אבל יש כאן אבל שמצדיק את העדכון. ברגע שחולשה מתוקנת ומתפרסמת היא מפסיקה להיות נחלתם של מעטים, הפרטים הופכים זמינים, והשימוש בה מתרחב הרבה מעבר למי שגילה אותה תחילה.

האם מנוצלת בפועל?

כן, ומהמקור הראשון. Apple עצמה מציינת בהודעתה שידוע לה על דיווח שלפיו החולשה נוצלה. ב-12 בפברואר 2026, יום אחרי פרסום הרשומה ב-NVD, הכניסה אותה CISA, סוכנות הסייבר האמריקאית, לקטלוג ה-KEV, רשימת החולשות שידוע שתוקפים משתמשים בהן בשטח, עם מועד תיקון לגופים פדרליים עד 5 במרץ 2026.

שימו לב לניסוח שבו Apple בחרה. היא כותבת שייתכן שהחולשה נוצלה, ומייחסת את הידיעה לדיווח שהגיע אליה במקום לקבוע זאת כעובדה משלה. זה ניסוח זהיר שחוזר בהודעות שלה, ומשמעותו שהחברה מאמינה לדיווח מספיק כדי להוציא תיקון.

מה עושים?

עדכנו לגרסה 26.3 או מאוחרת יותר בכל מכשיר Apple שברשותכם.

ב-iPhone וב-iPad: הגדרות, כללי, ואז עדכון תוכנה. אם מוצע עדכון, התקינו אותו וחברו את המכשיר לחשמל לפני שאתם מתחילים. ב-Mac: תפריט Apple, הגדרות המערכת, כללי, עדכון תוכנה, והגרסה שאתם צריכים היא macOS Tahoe 26.3 ומעלה. את השעון מעדכנים מאפליקציית Watch בטלפון, ואת Apple TV מתוך ההגדרות של המכשיר עצמו.

אל תדלגו על המכשירים שנוטים להישכח. שעון, טלוויזיה ומשקפת מציאות מדומה מופיעים כאן ברשימת המושפעים במפורש, הם יושבים על אותה רשת, והם מקבלים עדכונים כמו כל השאר.

ואם יש ברשותכם מכשיר ישן שכבר אינו מקבל את גרסה 26, שימו לב שהתיקון הזה לא יגיע אליו. Apple מציינת שהניצול נצפה דווקא בגרסאות iOS שקדמו ל-26, וזו בדיוק הקבוצה שנשארת בלי מענה.