Apple heeft nieuwe updates voor iOS en iPadOS uitgebracht die een kwetsbaarheid aanpakken waardoor verwijderde berichten hersteld konden worden. Deze kwetsbaarheid, geregistreerd als CVE-2026-28950, betreft een probleem met logging waarbij notificaties die als verwijderd waren gemarkeerd toch op het apparaat werden bewaard.

De updates iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 en iPadOS 18.7.8 verbeteren de gegevensverwijdering om dit probleem te verhelpen. De beveiligingspatches zijn beschikbaar voor tientallen iPhone- en iPad-modellen, van de iPhone XR en iPhone XS tot de iPhone 16 en iPhone 16e, en van de 5e generatie iPad mini tot de iPad Pro 13-inch (M4).

Apple gaf geen verdere details over CVE-2026-28950 en meldde ook niet dat de kwetsbaarheid actief werd misbruikt. Uit berichten blijkt echter dat de FBI de kwetsbaarheid heeft gebruikt om Signal-berichten te achterhalen van een verdachte in de Prairieland-zaak. Ondanks dat de berichten waren ingesteld om te verdwijnen en de Signal-app was verwijderd, kon de FBI via het notificatiesysteem toch toegang krijgen tot de chats. Dit kwam doordat previews van binnenkomende berichten werden opgeslagen in de systeemcache en later met forensische tools konden worden uitgelezen.

Signal prees Apple kort na het uitrollen van de updates voor de snelle actie om de privacy van gebruikers te beschermen. Volgens Signal is er geen verdere actie nodig van gebruikers; na installatie van de patch worden per ongeluk bewaarde notificaties verwijderd en worden toekomstige notificaties van verwijderde apps niet meer bewaard.