Apple musiało pilnie zareagować na lukę w zabezpieczeniach swojego mobilnego systemu operacyjnego. Firma wydała awaryjną aktualizację, aby naprawić lukę w zabezpieczeniach silnika graficznego , która była już wykorzystywana przez atakujących. Luka, zidentyfikowana jako CVE-2026-86950, znajduje się w CoreGraphics, komponencie odpowiedzialnym za renderowanie interfejsu i elementów wizualnych na iPhone'ach, iPadach i komputerach Mac. Według Apple, atak był wymierzony w konkretne osoby, wykorzystując wysoce zaawansowaną metodę , a nie w ogół społeczeństwa.
Ta wiadomość pojawia się w krytycznym momencie, ponieważ zdecydowana większość użytkowników nie zaktualizowała jeszcze systemu operacyjnego do najnowszej wersji. W rzeczywistości, prawie cztery na pięć aktywnych iPhone'ów nadal działa pod kontrolą systemu iOS 26 , według danych udostępnionych deweloperom przez Apple. Oznacza to, że ogromna część floty urządzeń Apple jest zagrożona, jeśli poprawka nie zostanie zastosowana jak najszybciej. Aktualizacja naprawia lukę w zabezpieczeniach systemów iOS, iPadOS i macOS, chociaż źródła nie są zgodne co do dokładnego numeru wersji, dlatego zaleca się ręczne sprawdzenie ustawień urządzenia.
Na czym dokładnie polega ta wada i dlaczego jest niebezpieczna?
CoreGraphics nie jest mało istotnym elementem systemu. To warstwa zarządzająca praktycznie wszystkim, co jest wyświetlane na ekranie , w tym zawartością aplikacji szyfrowanych end-to-end, takich jak WhatsApp, Signal i iMessage. Exploit, który zdoła zinfiltrować tę warstwę, może przechwycić dane, zanim dotrą one do szyfrowanego kanału, co czyni ochronę komunikacji nieskuteczną. Właśnie dlatego producenci oprogramowania szpiegującego są skłonni zapłacić miliony dolarów za luki w zabezpieczeniach tego typu.
W ostrzeżeniu Apple atak został opisany jako niezwykle wyrafinowany i ukierunkowany . To właśnie tego języka firma zazwyczaj używa, gdy luka została wykorzystana przez cyfrowe grupy najemników lub podmioty państwowe przeciwko dziennikarzom, aktywistom, kadrze kierowniczej lub urzędnikom państwowym. Nie jest to zatem masowa kampania przeciwko zwykłym użytkownikom, ale potencjalne ryzyko pozostaje bardzo wysokie ze względu na dużą liczbę urządzeń, które nie zostały jeszcze zaktualizowane.
Drugi błąd związany z zerowym kliknięciem, który również został naprawiony
Oprócz luki CVE-2026-86950, Apple musiało zmierzyć się z inną, równie poważną luką bezpieczeństwa: CVE-2026-86869. Ta luka zero-click jest aktywowana automatycznie przez użytkownika, który otrzymuje zmanipulowaną wiadomość iMessage. Belgijska firma zajmująca się cyberbezpieczeństwem ironPeak opublikowała analizę techniczną szczegółowo opisującą, w jaki sposób luka ta może ominąć BlastDoor, ochronę Apple zaprojektowaną w celu izolowania złośliwego kodu w środowisku iMessage.
Ten drugi błąd został załatany przez Apple wraz z wydaniem iOS 27, a firma przypisuje jego odkrycie Nielsowi Hofmansowi z IronPeak, a także badaczom bezpieczeństwa z Meta, którzy potwierdzili te ustalenia. Nie ma publicznego potwierdzenia, że ta konkretna luka była wykorzystywana w rzeczywistych atakach przed jej naprawieniem, chociaż jej brak konieczności kliknięcia sprawia, że jest to bardzo poszukiwane narzędzie na rynku oprogramowania szpiegującego.
Rola Meta i kontekst rynku zero-day
Warto zauważyć, że zespół ds. bezpieczeństwa produktu Meta był odpowiedzialny za odkrycie głównej luki w zabezpieczeniach, CVE-2026-86950. Firma, kierowana przez Marka Zuckerberga, była przedmiotem kontroli z powodu innych problemów związanych z prywatnością, ale jej badacze ds. bezpieczeństwa wielokrotnie udowodnili, że potrafią znajdować krytyczne luki w systemach innych firm. Wyszukiwanie błędów i ochrona danych to dwie odrębne czynności i ważne jest, aby nie łączyć ich ze sobą, oceniając wiarygodność zespołu technicznego.
Rynek luk typu zero-day jest wart miliardy dolarów rocznie i funkcjonuje w niemal całkowitej próżni regulacyjnej. Rządy, firmy produkujące oprogramowanie szpiegujące i grupy przestępcze płacą badaczom znacznie więcej, niż oferuje program nagród za błędy Apple. Cykl się powtarza: luka zostaje odkryta, łatka zostaje opublikowana, a producenci oprogramowania szpiegującego natychmiast szukają kolejnej . Dopóki ten ekosystem będzie działał z obecnymi zachętami, utrzymywanie systemu operacyjnego bez aktualizacji będzie złym pomysłem.
Zalecenie dla użytkowników jest jasne: sprawdź wersję systemu iOS lub iPadOS w ustawieniach urządzenia i jak najszybciej zainstaluj awaryjną aktualizację wydaną przez Apple. Jeśli na urządzeniu działa już system iOS 27, ryzyko znika, ale nadal zaleca się upewnienie się, że posiadasz najnowszą dostępną wersję. Dla użytkowników systemu iOS 26 łatka stanowi jedyną praktyczną ochronę przed luką w zabezpieczeniach, która została już wykorzystana w praktyce . Nie ma to na celu wywoływania paniki, ale ważne jest, aby poważnie traktować zagrożenie, które, choć skierowane do konkretnych użytkowników, pozostawia lukę w zabezpieczeniach na milionach urządzeń.
