Apple закрыла две уязвимости в iMessage и уязвимость в библиотеке Brotli

Первая уязвимость, CVE-2026-113961, связана с авторизацией: удалённый злоумышленник мог присоединиться к групповому чату и получать его сообщения. Исправление внедряет улучшенную проверку. Вторая, CVE-2026-113960, позволяла участнику, добавленному в группу, получить доступ к сообщениям, отправленным до его вхождения.

Обновления вышли для каждой версии операционной системы отдельно. Описание всех трёх уязвимостей приведено в бюллетене безопасности для iOS и iPadOS 27.2.1. Девять обновлений также закрывают несколько уязвимостей Bluetooth и AirPlay.

Brotli и каталог CISA

Уязвимость CVE-2026-111497 представляет собой выход за границы буфера при записи в декодере библиотеки Brotli. Через вредоносные входные данные могла быть повреждена память. CISA добавила её в каталог известных эксплуатируемых уязвимостей 27 октября. В описании записи указано, что библиотеку могут использовать и другие продукты.

В примечаниях Apple не сказано, использовались ли уязвимости в атаках, и не упомянуты атаки с использованием Brotli.

Что остаётся неясным

Компания не сообщила, требуется ли от злоумышленника что-то дополнительное для атаки и видят ли участники группы присоединившегося таким способом человека. Также неизвестно, нужно ли обновиться всем участникам чата, чтобы быть защищёнными. Обходных путей для тех, кто не может установить обновление сразу, Apple не предложила.

В обновлениях для iOS 18.7.12 и watchOS 26.6.1 исправления iMessage и Brotli не перечислены, и компания не уточнила, затронуты ли устройства на этих версиях. Сообщается, что Bluetooth-уязвимости позволяли вредоносному устройству сопрягаться с другим без участия пользователя, а две другие давали обойти ограничение на количество попыток ввода кода сопряжения.