Zneužívaná chyba v Apple CoreGraphics: škodlivý súbor môže spustiť kód na iPhon…

Čo sa stalo

Apple opravil závažnú chybu v komponente CoreGraphics, ktorý v iPhonoch, iPadoch a Macoch vykresľuje grafiku a spracúva obrázky či dokumenty PDF. Chyba má označenie CVE-2026-86950 a umožňuje, aby špeciálne upravený súbor spustil v zariadení cudzí kód. Nahlásil ju bezpečnostný tím spoločnosti Meta (Meta Product Security).

Prvé opravy vydal Apple 28. septembra 2026 vo verziách iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1. Pre staršie iPhony a iPady pridal opravu až 26. októbra 2026, vo verziách iOS 18.7.11 a iPadOS 18.7.11.

Chybu útočníci podľa všetkého už zneužili. Apple uvádza, že vie o hlásení, podľa ktorého mohla byť použitá pri mimoriadne sofistikovanom útoku na konkrétnych, cielene vybraných ľudí so systémom starším ako iOS 27. Americká agentúra CISA ju 29. septembra 2026 zaradila do katalógu aktívne zneužívaných zraniteľností a európska agentúra ENISA ju eviduje pod označením EUVD-2026-88445.

Prečo je to nebezpečné

Ide o chybu typu zápis mimo hraníc pamäte (out-of-bounds write). Predstavte si formulár, v ktorom má každé políčko pevnú dĺžku. Ak program neoverí, či sa text do políčka zmestí, prepíše aj susedné políčka. Kto presne vie, čo a kam napísať, môže takto programu podstrčiť vlastné pokyny. V tomto prípade stačí, aby zariadenie spracovalo zákerne pripravený súbor.

Útočník nepotrebuje heslo ani fyzický prístup k zariadeniu. Súbor môže poslať cez internet, napríklad e-mailom, v správe alebo cez webovú stránku. Podľa hodnotenia závažnosti musí používateľ niečo urobiť, typicky súbor otvoriť alebo si ho zobraziť. Ak útok uspeje, útočník spustí v zariadení vlastný kód. Čo presne potom môže urobiť, Apple nespresňuje.

CVSS 8,8 z 10 (CVSS 3.1, hodnotenie CISA v databáze NVD): vysoká závažnosť. CVSS je štandardná stupnica od 0 do 10, ktorá hodnotí, aká vážna je chyba a ako ľahko sa dá zneužiť.
CISA KEV: katalóg americkej agentúry CISA, do ktorého sa dostanú len chyby s dôkazom o skutočnom zneužívaní. Federálne úrady v USA museli túto chybu opraviť do 13. októbra 2026.
EPSS 26 % (k 28. októbru 2026): odhad pravdepodobnosti, že chybu niekto zneužije v najbližších 30 dňoch. Chyba tak patrí medzi zhruba 2 % najrizikovejších známych zraniteľností.

Podľa Apple mohla byť chyba zneužitá pri cielenom útoku na konkrétnych ľudí, nie pri hromadnom útoku. Po zverejnení opravy však chybu môžu skúmať aj ďalší útočníci, preto sa oplatí aktualizovať všetky zariadenia, nielen tie „dôležité“.

Koho sa to týka

Chyba sa týka iPhonov, iPadov a Macov, ktoré ešte nemajú opravenú verziu systému:

iOS a iPadOS 18 vo verzii nižšej ako 18.7.11. Opravu 18.7.11 Apple vydal pre iPhone XS, iPhone XS Max, iPhone XR, iPad 7. generácie, iPad Air 4. generácie a novšie, iPad 9. generácie a novšie a iPad mini 6. generácie a novšie.
iOS a iPadOS 26 vo verzii nižšej ako 26.7.1. Oprava je pre iPhone 11 a novšie, 12,9-palcový iPad Pro 3. generácie a novšie, 11-palcový iPad Pro 1. generácie a novšie, iPad Air 3. generácie a novšie, iPad 8. generácie a novšie a iPad mini 5. generácie a novšie.
macOS Tahoe vo verzii nižšej ako 26.7.1.
macOS Sequoia vo verzii nižšej ako 15.8.1.

V malých firmách ide typicky o služobné telefóny a notebooky vedenia, obchodníkov či účtovníctva, ale aj o súkromné zariadenia, na ktorých zamestnanci čítajú firemnú poštu. Apple neuvádza, kto boli obete útokov. Hlásené zneužitie sa týka verzií iOS starších ako iOS 27. Z počítačov Mac uvádza Apple v bezpečnostných poznámkach k tejto chybe len macOS Tahoe a macOS Sequoia.

Ako zistiť, či ste zasiahnutí

Na iPhone a iPade otvorte Nastavenia > Všeobecné > Informácie a pozrite sa na položku s verziou iOS alebo iPadOS. Na Macu kliknite na menu Apple > O tomto Macu. Verziu macOS zistíte aj v Termináli príkazom, ktorý nič nemení, len ju vypíše:

sw_vers

Hľadajte riadok ProductVersion, napríklad 15.8.1. Ak firma spravuje zariadenia cez MDM (napríklad Microsoft Intune alebo Jamf), verzie všetkých zariadení nájdete v prehľade inventára. Zariadenie je v poriadku, ak má opravenú verziu pre svoju vetvu systému alebo novšiu.

Ako to opraviť

Opravené verzie sú iOS a iPadOS 18.7.11, iOS a iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1, prípadne novšie. Dočasné riešenie Apple neuvádza, jedinou ochranou je aktualizácia. Odporúčaný postup:

Najprv aktualizujte zariadenia ľudí, ktorí sú najlákavejším cieľom: vedenia, ľudí s prístupom k financiám, citlivým dátam alebo správcovským účtom a tých, čo často cestujú.
iPhone a iPad: Nastavenia > Všeobecné > Aktualizácia softvéru, potom Stiahnuť a nainštalovať. Zariadenie majte na nabíjačke a na Wi-Fi.
Mac: Systémové nastavenia > Všeobecné > Aktualizácia softvéru. Pred inštaláciou si overte, že máte aktuálnu zálohu, napríklad cez Time Machine.
Vo firemnom MDM nastavte povinnú aktualizáciu s krátkym termínom a sledujte, ktoré zariadenia ju ešte nemajú.
Po aktualizácii skontrolujte verziu podľa predchádzajúcej časti.

Zariadenia, ktoré podporujú iOS 27, môžete aktualizovať aj na najnovšiu verziu iOS 27. Hlásené zneužitie sa podľa Apple týka verzií pred iOS 27. Zariadenia, pre ktoré Apple už aktualizácie nevydáva, by nemali pracovať s firemnými dátami.

Čo ak už ste mohli byť napadnutí

Apple ani CISA nezverejnili konkrétne indikátory napadnutia, ako sú názvy súborov alebo adresy serverov. Útok, pri ktorom mohla byť chyba zneužitá, opisuje Apple ako mimoriadne sofistikovaný a cielený. Taký útok sa bežnými prostriedkami odhaľuje ťažko. Napriek tomu sa oplatí skontrolovať:

Či niekto vo firme nedostal od Apple oznámenie o hrozbe (threat notification). Prichádza e-mailom a zobrazí sa aj priamo v iPhone a po prihlásení na account.apple.com.
Či v časti Nastavenia > Všeobecné > VPN a správa zariadení nie sú neznáme profily.
Zoznam prihlásených zariadení v nastaveniach účtu Apple. Tie, ktoré nepoznáte, odstráňte.
Na Macu časť Systémové nastavenia > Všeobecné > Položky a rozšírenia spúšťané pri prihlásení a tiež neznáme aplikácie.
Nezvyčajné správanie, napríklad rýchle vybíjanie batérie, prehrievanie alebo nečakané reštarty. Samo osebe však nič nedokazuje.

Odborníka prizvite, ak ide o zariadenie človeka na citlivej pozícii, ak prišlo oznámenie o hrozbe od Apple alebo ak máte iný dôvod na podozrenie. Zariadenie dovtedy nemažte ani neobnovujte, aby sa nestratili stopy. Heslá k firemným účtom zmeňte z iného, dôveryhodného zariadenia.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Zneužívaná chyba v Apple CoreGraphics: škodlivý súbor môže spustiť kód na iPhone, iPade aj Macu