Apple har lansert sikkerhetsoppdateringer for eldre iPhone- og iPad-modeller etter at et alvorlig sikkerhetshull i CoreGraphics skal ha blitt utnyttet i svært avanserte, målrettede angrep mot iOS-enheter. Sårbarheten har fått identifikatoren CVE-2026-86950.

Den samme feilen ble rettet i september for enheter med iOS 26.7.1 og iPadOS 26.7.1, samt macOS Tahoe 26.7.1 og macOS Sequoia 15.8.1. De nye oppdateringene gjør at også eldre Apple-enheter omfattes av sikkerhetsfiksen.

Kan gi kjøring av vilkårlig kode

Sårbarheten ble oppdaget av Meta Product Security i CoreGraphics, et rammeverk Apple bruker til blant annet todimensjonal vektorgrafikk, teksttegning og bildevisning i iOS, macOS, iPadOS, watchOS og tvOS.

Det dreier seg om en såkalt «out-of-bounds write»-sårbarhet. Ved vellykket utnyttelse kan en angriper krasje programmer, ødelegge data eller i verste fall kjøre kode eksternt ved å skrive data utenfor det tildelte minneområdet.

Apple opplyste mandag at selskapet kjenner til en rapport om at feilen kan ha blitt brukt i «et ekstremt sofistikert angrep mot bestemte, målrettede personer» på iOS-versjoner før iOS 27.

«Processing a maliciously crafted file may lead to arbitrary code execution. An out-of-bounds write issue was addressed with improved bounds checking.»

Det betyr at en spesiallaget, ondsinnet fil kan føre til kjøring av vilkårlig kode. Apple har rettet problemet ved å forbedre kontrollen av grensene for minneområdet.

Gjelder flere eldre modeller

Med ukens sikkerhetsoppdateringer er sårbarheten også rettet på iPhone XS, iPhone XS Max og iPhone XR. På nettbrettsiden gjelder oppdateringen iPad fra 7. generasjon, iPad Air fra 4. generasjon og nyere, iPad fra 9. generasjon og nyere, samt iPad mini fra 6. generasjon og nyere.

Apple sier at CVE-2026-86950 bare er utnyttet i svært målrettede angrep. Det anbefales likevel sterkt å installere oppdateringene for å blokkere mulige angrep.

Dette er Apples andre kjente null-dagssårbarhet i år

Med denne oppdateringen har Apple rettet to null-dagssårbarheter som skal ha blitt utnyttet i angrep i år. Den andre, CVE-2026-20700, var en sårbarhet for kjøring av vilkårlig kode i dyld – Dynamic Link Editor som brukes av Apples operativsystemer. Også den ble knyttet til «ekstremt sofistikerte» målrettede angrep, og ble rettet i februar.

Tidligere i år rettet Apple også en alvorlig sårbarhet i Beats Studio Buds. Feilen, CVE-2025-20701, kunne la angripere innenfor Bluetooth-rekkevidde avlytte brukernes samtaler. Selskapet oppdaterte dessuten eldre iPhone- og iPad-modeller mot fire sårbarheter som ble brukt i cyberspionasje og angrep mot kryptovaluta, gjennom verktøysettet Coruna.