Apple heeft beveiligingsupdates voor een zero-day kwetsbaarheid in CoreGraphics teruggeplaatst naar oudere iPhones en iPads om gerichte aanvallen te voorkomen.
Apple heeft beveiligingspatches die vorige maand zijn uitgebracht, teruggeplaatst naar oudere iPhones en iPads. Deze updates verhelpen een zero-day kwetsbaarheid die werd misbruikt in "uiterst geavanceerde" gerichte aanvallen op iOS-apparaten.
De kwetsbaarheid, een out-of-bounds write in CoreGraphics, werd ontdekt door Meta Product Security en staat geregistreerd als CVE-2026-86950. CoreGraphics is een framework dat wordt gebruikt voor tweedimensionale vectorgraphics, tekstweergave en beeldverwerking op iOS, macOS, iPadOS, watchOS en tvOS. Door deze kwetsbaarheid kunnen aanvallers programma’s laten crashen, data corrupt maken of op afstand code uitvoeren door gegevens buiten het toegewezen geheugen te schrijven.
Apple waarschuwde recentelijk dat deze kwetsbaarheid mogelijk is misbruikt in zeer gerichte aanvallen op specifieke personen met iOS-versies ouder dan iOS 27. Het verwerken van een kwaadaardig bestand kan leiden tot willekeurige code-uitvoering. De patch verbetert de controle op geheugenlimieten om dit probleem te verhelpen.
Met de nieuwste beveiligingsupdates zijn nu ook oudere apparaten zoals iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie, iPad Air 4e generatie en later, iPad 9e generatie en later, en iPad mini 6e generatie en later beschermd tegen deze kwetsbaarheid. Hoewel Apple aangeeft dat CVE-2026-86950 alleen wordt misbruikt in zeer gerichte aanvallen, wordt het sterk aanbevolen om de patches te installeren om mogelijke aanvallen te blokkeren.
Dit is de tweede zero-day kwetsbaarheid die Apple dit jaar heeft verholpen. Eerder werd in februari een kwetsbaarheid in dyld, de Dynamic Link Editor van Apple-besturingssystemen, gepatcht na exploitatie in geavanceerde gerichte aanvallen. Daarnaast werden eerder dit jaar ook andere ernstige kwetsbaarheden in Beats Studio Buds en oudere iPhones en iPads aangepakt die werden gebruikt bij cyberspionage en cryptodiefstal.
