אפל הוציאה עדכון לחולשה שבה עיבוד של קובץ בנוי במיוחד גורם לכתיבה מחוץ לגבולות הזיכרון ומאפשר להריץ קוד על המכשיר. הציון הוא 8.8 מתוך 10. CISA הוסיפה את החולשה לקטלוג החולשות המנוצלות ב-29 בספטמבר 2026, וקבעה לגופים הפדרליים האמריקאיים לסיים את הטיפול עד 2 באוקטובר, שלושה ימים אחר כך. קצב כזה אינו שגרתי, והוא הסימן הברור ביותר כאן.
מה החולשה?
כשתוכנה ניגשת לעבד קובץ היא מקצה לו מקום בזיכרון לפי מה שהיא מצפה למצוא בתוכו. קובץ שנבנה כדי להצהיר על דבר אחד ולהכיל דבר אחר גורם לה להמשיך ולכתוב אל מעבר למה שהוקצה, כלומר לדרוס את מה שיושב שם. משם תוקף שבנה את הקובץ בקפידה יכול לכוון את מה שנדרס ולהשיג שליטה על מה שרץ. המחלקה הזאת נקראת כתיבה מחוץ לגבולות הזיכרון, וברשומה היא מסומנת CWE-787. אפל כותבת שהיא סגרה אותה בבדיקת גבולות משופרת.
בווקטור יש פרט אחד שקובע כאן הרבה, ושווה לשים אליו לב לפני שנבהלים מהמספר: נדרשת פעולה של המשתמש. כלומר הקובץ צריך להגיע אליכם ולהיפתח או להיטען, וזו אינה חולשה שמופעלת מעצמה על מכשיר שמונח על השולחן. מנגד, ברגע שהיא מופעלת הדירוג מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות, כלומר שליטה מלאה במה שרץ.
עוד פרט מהרשומה ששווה להחזיק: הדיווח על ניצול נוגע לגרסאות שלפני iOS 27. התיקון שאפל הוציאה כאן הוא לענף 26, וזה מסביר את הצורה שלו. מדובר בסגירה של החולשה בגרסאות שעדיין בשימוש, ולא בעדכון שמביא איתו גרסה חדשה.
מי מושפע?
החולשה נוגעת ל-iPhone, ל-iPad ול-Mac. ב-iOS וב-iPadOS מדובר בכל מה שלפני 26.7.1.
ב-Mac שווה לעצור רגע, כי כאן יש שני מספרים שונים ולא אחד, וזה המקום שבו אנשים מתבלבלים. מי שמריץ macOS Sequoia צריך להגיע ל-15.8.1. מי שמריץ את הענף החדש יותר, macOS Tahoe, צריך להגיע ל-26.7.1. שני המספרים תקפים, כל אחד למערכת שלו, ומספר גבוה יותר אינו בהכרח חדש יותר כאן.
בישראל, שבה מכשירי אפל נפוצים מאוד, זה נוגע לקהל רחב. עם זאת, הניצול שדווח הוא ממוקד ולא המוני, ולכן הדרך הנכונה להתייחס לזה היא כאל עדכון שכדאי לעשות היום, לא כאל אירוע שמצריך משהו מעבר לכך.
האם מנוצלת בפועל?
אפל מסרה שהיא מודעת לדיווח לפיו החולשה ייתכן שנוצלה בתקיפה מתוחכמת במיוחד נגד יחידים ספציפיים שסומנו כמטרה. זה ניסוח מסויג, והוא של אפל, ולכן הוא נשאר כאן כמו שהוא.
ב-29 בספטמבר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמרכז את החולשות שידוע כי תוקפים עושים בהן שימוש בפועל. המועד שנקבע שם לסיום הטיפול הוא 2 באוקטובר 2026. שלושה ימים הם חלון צר במיוחד, והוא אומר על הדחיפות יותר מכל תיאור.
מה עושים?
1. עדכנו את הטלפון או את ה-iPad. הגדרות, אחר כך כללי, אחר כך עדכון תוכנה. היעד הוא 26.7.1.
2. ב-Mac בררו קודם איזו מערכת רצה אצלכם: תפריט אפל, אחר כך About This Mac. אם זה Sequoia, היעד הוא 15.8.1. אם זה Tahoe, היעד הוא 26.7.1. אחר כך היכנסו להגדרות מערכת, כללי, עדכון תוכנה.
3. הפעילו את המכשיר מחדש אחרי ההתקנה, וּודאו במסך העדכון שהגרסה שמוצגת היא זו שרשומה למעלה.
4. עד שתעדכנו, הזהירות המעשית נגזרת מהתנאי של החולשה: היא דורשת שקובץ ייפתח. קובץ שמגיע ממקור לא מוכר, בהודעה או בדואר, הוא מה שכדאי לא למהר לפתוח דווקא עכשיו. פרטי הגרסאות מרוכזים בהודעות האבטחה של אפל.