Apple 27.2, 26.7.2 și 18.7.11: 286 de defecte corectate și un defect exploatat portat la iPhone XS, XR și iPad 7. Ce verifici la flota ta de dispozitive

• Apple listează pe pagina de securitate, la 26 octombrie: iOS și iPadOS 27.2 (iPhone 11 și mai noi), iOS și iPadOS 26.7.2, iOS și iPadOS 18.7.11 (iPhone XS, XS Max, XR și iPad generația a 7-a), macOS Golden Gate 27.2, Tahoe 26.7.2, Sequoia 15.8.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 și Safari 27.2 pentru Sequoia și Tahoe.
• CVE-2026-86950 este o scriere în afara limitelor în CoreGraphics, raportată de echipa de securitate a produselor Meta. Apple spune că procesarea unui fișier special construit poate duce la execuție de cod arbitrar și că a corectat problema prin verificări îmbunătățite ale limitelor, iar, potrivit BleepingComputer, că are cunoștință de un raport conform căruia defectul „ar fi putut fi exploatat într-un atac extrem de sofisticat împotriva unor persoane țintite”, pe versiuni iOS dinainte de iOS 27.
• Defectul a fost corectat prima dată în septembrie, în iOS și iPadOS 26.7.1 și macOS Tahoe 26.7.1 și Sequoia 15.8.1. Acum, iOS și iPadOS 18.7.11 corectează trei vulnerabilități, între care aceasta, potrivit SecurityWeek.
• SecurityWeek: iOS și macOS 27.2 corectează 286 de defecte (263 pentru macOS 27.2 și 163 pentru iOS și iPadOS 27.2, cu circa 140 comune), iar alte versiuni au zeci sau sute de corecturi fiecare. Între cele notabile: coruperi de memorie în WebKit, nucleu și componente de imagini, fonturi, PDF, audio și video, unele cu posibilă execuție de cod; ocoliri de sandbox; defecte în Screen Sharing, Remote Management și SMB pe macOS, între care unul în Remote Management care ar putea permite execuție de cod la distanță; ocoliri Gatekeeper.
• NCSC-NL (27 octombrie) cere instalarea actualizărilor pentru macOS. Spune că nu s-a raportat exploatare activă, nu există cod de exploatare public și evaluează probabilitatea exploatării drept medie, severitatea drept medie spre ridicată și impactul potențial drept mare.

• Exploatarea: Apple spune doar „atac extrem de sofisticat împotriva unor persoane țintite”. Nu există detalii despre cine a atacat și pe cine. SecurityWeek notează că nu pare să existe informații publice despre atacuri.
• Dacă iOS și macOS 27 sunt afectate de CVE-2026-86950: Apple vorbește de versiuni dinainte de iOS 27, iar SecurityWeek spune prudent că 27 „nu par afectate”.
• Lista dispozitivelor: BleepingComputer menționează mai multe modele de iPhone și iPad ca „acum corectate”, mai larg decât lista Apple pentru 18.7.11. Folosește pagina Apple pentru versiunea corectă a fiecărui model.
• Scorul CVSS al defectului: nu apare în sursele citite.
• Cifrele de defecte per versiune sunt ale SecurityWeek și aproximative pentru suprapuneri.

• Inventariază dispozitivele Apple, ale firmei și personale folosite pentru muncă, cu modelul și versiunea de sistem. Fără inventar nu poți spune cât din flotă este expusă.
• Împinge actualizările prin MDM: iOS și iPadOS 27.2 sau 26.7.2 unde se poate; pentru iPhone XS, XS Max, XR și iPad generația a 7-a, iOS 18.7.11; pentru Mac, versiunea corectată a sistemului tău și Safari 27.2 pe Sequoia și Tahoe.
• Pentru defectul exploatat, calculează cât timp au fost expuse dispozitivele rămase pe iOS 18: a fost corectat pentru prima dată la sfârșitul lui septembrie, iar portarea a venit abia pe 26 octombrie.
• Stabilește o versiune minimă acceptată pentru acces la poșta și la aplicațiile firmei, prin acces condiționat sau politici MDM. Un dispozitiv nepatchuit nu trebuie să ajungă la date sensibile.
• Pentru dispozitivele care nu mai primesc nicio actualizare, planifică înlocuirea și limitează accesul lor până atunci.
• Pe Mac-uri administrate, dacă Screen Sharing, Remote Management sau partajarea SMB sunt active, ia în calcul restrângerea lor la rețele de încredere până la actualizare.
• Pentru persoane cu risc ridicat (conducere, jurnaliști, juriști, cercetători), ia în calcul modul Lockdown al Apple; este o practică generală, nu o recomandare din sursele citite.

• Ce procent din dispozitivele care ating date ale firmei rulează cea mai recentă versiune corectată, și în cât timp de la un aviz cu exploatare?
• Ai o politică pentru dispozitive ieșite din suport, inclusiv cele personale?
• Cine are răspunderea contractuală pentru actualizarea dispozitivelor administrate de un furnizor?

NIS2 cere gestionarea vulnerabilităților. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Pagina Apple este sursa primară pentru versiuni și modele; detaliile fiecărui CVE se află în avizele individuale, pe care nu le-am deschis. SecurityWeek și BleepingComputer relatează numărul de defecte și exploatarea, iar NCSC-NL dă o evaluare independentă a macOS. Exploatarea este descrisă de Apple, fără detalii.

Awarely Monitor poate ajuta la evidența dispozitivelor și a versiunilor, iar Awarely Learning la exercițiile pentru conducere despre actualizări de urgență. Articolul nu este consultanță juridică și nu garantează conformitatea.