Apple Keluarkan 11 Kemas Kini Keselamatan, Perluas Pembaikan Kelemahan yang Dieksploitasi kepada iPhone Lama

iPhone lama menerima pembaikan bagi serangan bersasar

Apple mengeluarkan 11 kemas kini keselamatan pada 26 Oktober 2026, termasuk tampalan bagi kelemahan grafik yang dieksploitasi dan menjejaskan iPhone XS, iPhone XS Max, iPhone XR serta iPad generasi ketujuh. Keluaran itu turut menangani ratusan kelemahan pada iPhone, iPad, Mac, Apple Watch, Apple TV, set kepala Vision Pro dan Safari yang lebih baharu.

Perkembangan paling mendesak bagi pemilik peranti lama itu ialah iOS 18.7.11 dan iPadOS 18.7.11. Kedua-duanya membaiki CVE-2026-86950, kelemahan CoreGraphics yang menurut Apple mungkin telah digunakan dalam serangan yang amat disasarkan terhadap pengguna versi sebelum iOS 27. Pemprosesan fail yang direka khas boleh membolehkan penyerang menjalankan kod pada peranti yang terjejas.

Apple telah membaiki kelemahan itu dalam beberapa keluaran sistem pengendalian yang lebih baharu pada 28 September. Kemas kini Oktober meluaskan perlindungan kepada perkakasan lama melalui proses yang dipanggil pemindahan ke versi terdahulu (backporting): membawa pembaikan keselamatan kepada versi perisian terdahulu tanpa menghendaki pengguna beralih kepada sistem pengendalian terkini.

Satu lagi tindak balas keselamatan melibatkan sijil terjejas daripada pihak berkuasa sijil India, eMudhra. Apple secara automatik menyekat sijil web yang terjejas dalam Safari, Mail serta aplikasi yang menggunakan rangka kerja rangkaian dan keselamatannya. Sesetengah alat baris perintah Mac masih memerlukan perhatian kerana alat itu menggunakan fail berbeza untuk menentukan sijil yang dipercayai.

Perkara yang dikeluarkan Apple dan jumlah keseluruhannya

Senarai keluaran keselamatan Apple menetapkan tarikh kesemua 11 keluaran pada 26 Oktober. Kemas kini itu meliputi tiga generasi perisian iPhone dan iPad, tiga sistem pengendalian Mac, dua cabang perisian Apple TV, watchOS, visionOS dan Safari.

Jumlah kelemahan yang diterbitkan ialah:

• iOS 27.2 dan iPadOS 27.2: 163.
• iOS 26.7.2 dan iPadOS 26.7.2: 134.
• iOS 18.7.11 dan iPadOS 18.7.11: tiga.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: tiada entri CVE diterbitkan.

Angka itu berjumlah 1,265 senarai kelemahan merentas semua keluaran, yang mewakili sekurang-kurangnya 329 kelemahan berbeza. Sesuatu kelemahan boleh disenaraikan dalam beberapa kemas kini kerana produk Apple berkongsi komponen perisian. Jika hanya iOS dan macOS 27.2 diambil kira, terdapat 286 kelemahan berbeza: 163 campur 263, dengan kira-kira 140 daripadanya dikongsi antara kedua-duanya.

Mengapa pembaikan CoreGraphics penting

CoreGraphics mengendalikan tugas seperti melukis teks dan memaparkan imej. CVE-2026-86950 ialah kelemahan penulisan di luar sempadan, iaitu perisian menulis maklumat melebihi ruang memori yang diperuntukkan kepadanya. Penyerang mungkin menggunakan kelemahan itu untuk mengganggu program atau membuatnya menjalankan arahan yang dipilih penyerang.

Meta Product Security menemui kelemahan itu. Apple, syarikat yang bertanggungjawab terhadap sistem pengendalian terjejas, menyatakan amaran eksploitasi itu dalam notis keselamatannya:

Apple mengetahui laporan bahawa isu ini mungkin telah dieksploitasi dalam serangan yang amat canggih terhadap individu tertentu yang menjadi sasaran pada versi iOS sebelum iOS 27.

Apple turut menjelaskan kesan teknikal dan pembaikannya:

Pemprosesan fail yang direka secara berniat jahat boleh menyebabkan pelaksanaan kod sewenang-wenangnya. Isu penulisan di luar sempadan ditangani dengan pemeriksaan sempadan yang dipertingkat.

Pemeriksaan sempadan bermaksud memastikan program kekal dalam ruang memori yang diperuntukkan kepadanya. Kelemahan itu digelar zero-day kerana penyerang telah menggunakannya sebelum pembaikan tersedia. Apple tidak melaporkan sebarang eksploitasi lain yang diketahui dalam kalangan kelemahan yang diliputi keluaran Oktober.

Pembaikan itu dikeluarkan untuk cabang perisian berbeza dalam tempoh beberapa minggu:

• 28 September: Apple mengeluarkan pembaikan dalam iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 dan macOS Sequoia 15.8.1.
• 29 September: Pihak berkuasa Amerika Syarikat menambah CVE-2026-86950 ke dalam katalog Kelemahan yang Diketahui Dieksploitasi.
• 26 Oktober: iOS 18.7.11 dan iPadOS 18.7.11 membawa pembaikan itu kepada peranti lama yang disenaraikan Apple.

Tarikh keluaran September dan Oktober berselang 28 hari. Bagi pemilik iPhone XS, XS Max, XR atau iPad generasi ketujuh, langkah praktikalnya ialah memasang kemas kini yang ditawarkan untuk peranti berkenaan. Apple tidak mengenal pasti secara terbuka individu yang menjadi sasaran atau menjelaskan bagaimana fail berniat jahat itu sampai kepada mereka.

Tiga pembaikan melindungi peranti lama

iOS 18.7.11 dan iPadOS 18.7.11 mengandungi tiga pembaikan yang disenaraikan, termasuk pembaikan CoreGraphics. Dua lagi menangani pendedahan data sensitif dan akses kamera tanpa kebenaran.

CVE-2026-65339 menjejaskan rangka kerja Audio dan boleh mendedahkan maklumat sensitif pengguna. CVE-2026-86990 menjejaskan CoreMedia dan boleh membolehkan aplikasi berniat jahat mengakses kamera tanpa kebenaran pengguna. CoreMedia ialah sebahagian daripada perisian yang digunakan Apple untuk mengurus audio dan video.

Apple menyenaraikan iPhone XS, iPhone XS Max, iPhone XR dan iPad generasi ketujuh sebagai peranti yang layak menerima keluaran ini. Nombor binaannya ialah 22H384. Pengenal itu memberi pengguna dan pentadbir satu lagi cara untuk menyemak versi perisian yang dipasang.

Tiga pembaikan itu menunjukkan mengapa kemas kini kecil wajar diberi perhatian segera. Bagi peranti ini, keluaran tersebut menggabungkan pembaikan bagi kelemahan yang dieksploitasi dengan perubahan untuk melindungi maklumat peribadi dan akses kamera. Kemas kini tidak perlu menyenaraikan ratusan pembaikan untuk menangani risiko serius.

iPhone dan iPad lebih baharu menerima pembaikan yang lebih meluas

Nasihat keselamatan iOS Apple menerangkan pembaikan komponen dalam iOS 27.2 dan iPadOS 27.2, termasuk CoreGraphics, CoreMedia, ImageIO dan kernel. Kernel ialah bahagian utama sistem pengendalian yang mengurus perkakasan, memori dan akses antara program.

163 kelemahan itu merangkumi masalah dalam WebKit, enjin pemaparan web Apple, serta komponen yang memproses imej, fon, dokumen PDF, audio dan video. Sesetengahnya boleh membolehkan pelaksanaan kod apabila peranti memproses kandungan berniat jahat. Kelemahan lain boleh membolehkan aplikasi mendapatkan data sensitif atau memintas tetapan privasi.

Keluaran itu turut membaiki CVE-2026-86987, kelemahan Apple Intelligence yang boleh membolehkan penyerang jauh mengakses maklumat sensitif pada iPhone dan iPad yang disokong. Pembaikan lain menangani kelemahan keluar daripada kotak pasir WebContent, iaitu persekitaran terhad yang bertujuan mengasingkan kandungan web daripada bahagian sistem yang lain.

Pembaikan tambahan berkaitan penyamaran sebagai pelayan pengesahan Kerberos dan akses penyerang berdekatan kepada rangkaian Thread. Kerberos membantu sistem mengesahkan identiti, manakala Thread menghubungkan peranti serasi, termasuk peralatan rumah pintar.

iOS 27.2 menyokong iPhone 11 dan model lebih baharu. iPadOS 27.2 menyokong iPad Pro 12.9 inci generasi keempat, iPad Pro 11 inci generasi kedua, iPad Air generasi keempat, iPad generasi kesembilan dan iPad mini generasi keenam, serta model lebih baharu dalam barisan tersebut. Cabang 26.7.2 turut meliputi beberapa iPad terdahulu, termasuk iPad generasi kelapan, iPad Air generasi ketiga dan iPad mini generasi kelima.

Pembaikan Mac meliputi akses jauh dan kawalan sistem

macOS Golden Gate 27.2 mencatat jumlah kelemahan individu tertinggi, iaitu 263. Pembaikannya merangkumi lebih daripada sedozen kelemahan yang boleh membolehkan aplikasi memperoleh akses root, tahap kawalan tertinggi pada Mac.

Apple turut membaiki kelemahan keluar daripada kotak pasir, pintasan Gatekeeper dan masalah kerosakan memori dalam komponen yang mengendalikan sistem fail dan imej cakera. Gatekeeper menyemak perisian yang dimuat turun sebelum ia dijalankan, sekali gus membantu pengguna mengelakkan aplikasi yang tidak dipercayai.

Screen Sharing, Remote Management dan SMB, iaitu protokol perkongsian fail rangkaian, turut menerima pembaikan. Sesetengah kelemahan boleh dieksploitasi dari jauh atau melalui rangkaian setempat. Kelemahan Remote Management boleh membolehkan penyerang jauh melaksanakan kod, menjadikan kemas kini ini amat penting bagi organisasi yang mengurus Mac melalui rangkaian.

macOS Tahoe 26.7.2 menangani 213 kelemahan, manakala macOS Sequoia 15.8.2 menangani 197. Keluaran Tahoe merangkumi CVE-2026-43736, kelemahan Siri yang boleh membolehkan aplikasi mengakses maklumat sensitif pengguna.

Safari 27.2 tersedia secara berasingan untuk macOS Sequoia dan macOS Tahoe, dan menangani 33 kelemahan. Ketersediaannya membolehkan pengguna yang kekal menggunakan sistem pengendalian Mac tersebut mendapat kemas kini pelayar bersama pembaikan sistem yang berkaitan.

Jam tangan, televisyen dan set kepala turut diliputi

Keluaran Apple pada Oktober bukan hanya untuk telefon dan komputer. watchOS 27.2 membaiki 62 kelemahan dan menyokong Apple Watch Series 9 dan model lebih baharu. visionOS 27.2 membaiki 125 kelemahan dan disenaraikan untuk semua model Apple Vision Pro.

tvOS 27.2 menangani 72 kelemahan untuk Apple TV 4K generasi kedua dan model lebih baharu. Apple TV HD dan Apple TV 4K generasi pertama pula menerima tvOS 26.6.1, yang menurut Apple tidak mempunyai entri CVE yang diterbitkan.

Nombor CVE ialah pengenal awam yang digunakan untuk menjejaki kelemahan keselamatan. Senarai Apple membezakan keserasian perkakasan daripada pengenal tersebut, jadi penting untuk menyemak model peranti yang tepat bagi menentukan keluaran yang berkenaan. Di rumah atau tempat kerja, mengemas kini telefon sahaja bermakna jam tangan, televisyen, set kepala dan komputer masih menggunakan perisian sedia ada.

Mengapa Apple menyekat sijil eMudhra

Notis keselamatan eMudhra Apple, yang diterbitkan pada 23 Oktober, menerangkan masalah berasingan yang melibatkan kunci persendirian lapan pihak berkuasa sijil perantaraan yang dikendalikan eMudhra. Enam mengeluarkan sijil TLS untuk laman web, manakala dua mengeluarkan sijil yang digunakan untuk menandatangani perisian.

Sijil laman web berfungsi seperti dokumen pengenalan. Pihak berkuasa sijil menandatanganinya supaya perisian boleh menyemak bahawa sambungan itu menuju ke laman web yang sepatutnya. Sesiapa yang memegang kunci persendirian pihak berkuasa perantaraan boleh mencipta sijil yang kelihatan sah untuk laman web lain.

Kunci eMudhra dijana dengan tahap rawak yang terlalu rendah, sekali gus membolehkan kunci itu dikira daripada sijil awam. Penyelidik keselamatan Scott Helme berkata beliau berjaya mendapatkan kesemua lapan kunci dalam masa kurang daripada satu saat. eMudhra mengaitkan kelemahan itu dengan masalah semasa upacara penjanaan kunci pada 30 April 2025, dan berkata hanya satu pihak berkuasa perantaraan yang terjejas telah digunakan dalam persekitaran produksi dan tiada sijil dikeluarkan kepada pengguna akhir.

Seorang penyelidik melaporkan isu itu pada 17 Oktober. Apple mula menyekat 12 sijil TLS yang terjejas pada 19 Oktober, kemudian turut menyekat emSign ECC Root CA - G3 pada 23 Oktober. Terdapat 12 sijil TLS kerana setiap satu daripada enam pihak berkuasa TLS yang terjejas mempunyai dua versi sijil yang menghubungkannya kepada akar kepercayaan yang berbeza. eMudhra dan Sectigo membatalkan sijil yang terjejas.

Chrome, Firefox dan Android turut menerima langkah penyekatan, manakala projek perisian dan pembekal sistem pengendalian mengeluarkan perubahan untuk stor sijil masing-masing. Tiada eksploitasi berniat jahat menggunakan kunci eMudhra yang telah disahkan. Sekatan automatik Apple meliputi Safari, Mail serta aplikasi yang menggunakan rangka kerja rangkaian dan keselamatannya tanpa memerlukan pengguna memasang kemas kini sistem pengendalian.

Sesetengah alat Mac masih memerlukan tindakan berasingan

Pentadbir Mac dan pembangun berdepan isu susulan yang lebih terhad. Sesetengah alat yang dibekalkan bersama macOS atau Xcode Command Line Tools, termasuk curl, git, python3, ruby, perl dan openssl, menyemak sijil menggunakan /etc/ssl/cert.pem. Bagi rantaian sijil yang dipercayai melalui fail itu, alat tersebut tidak menyemak sekatan sijil atau status pembatalan Apple.

Apple berkata kemas kini perisian akan datang akan mengubah fail itu, tetapi tidak memberikan tarikh keluaran. Pentadbir yang mahu bertindak lebih awal boleh mengikuti arahan Apple untuk membuat salinan sandaran dan membuang sijil akar yang berkaitan.

Membuang emSign ECC Root CA - G3 menyekat satu laluan kepercayaan. Notis Apple menjelaskan bahawa sijil silang-tandatangan Sectigo masih boleh diterima melalui AAA Certificate Services, jadi pentadbir boleh memilih untuk membuang akar itu juga. Pembuangan sijil akar memberi kesan kepada semua alat yang bergantung pada fail tersebut dan boleh mengganggu sambungan ke laman web sah yang menggunakan sijil lain di bawah akar berkenaan.

Kemas kini macOS kemudian boleh menggantikan /etc/ssl/cert.pem, jadi pentadbir yang menggunakan langkah sementara perlu menyemak fail itu selepas kemas kini sehingga perubahan kekal Apple dikeluarkan. Aplikasi yang mempunyai senarai sijil sendiri memerlukan tindakan berasingan daripada pembangunnya.

Kebanyakan pemilik peranti Apple tidak perlu mengubah fail sijil. Tindakan segera mereka ialah memasang kemas kini keselamatan yang sesuai, manakala organisasi juga perlu menyemak perkhidmatan pengurusan jauh, alat pembangun dan aplikasi yang menyelenggara senarai kepercayaan sendiri. Apple memberi penghargaan kepada alat AI dan pasukan penyelidik kerana menemui beberapa kelemahan dalam keluaran yang lebih meluas itu, sekali gus menunjukkan bahawa ujian keselamatan sedang menemukan masalah serentak merentas banyak komponen yang dikongsi.

Perkara Utama

• Apple mengeluarkan 11 kemas kini keselamatan pada 26 Oktober 2026, meliputi sistem pengendalian utamanya dan Safari.
• iOS 18.7.11 dan iPadOS 18.7.11 membawa pembaikan CoreGraphics yang dieksploitasi kepada iPhone XS, XS Max, XR dan iPad generasi ketujuh.
• Keluaran itu mengandungi 1,265 senarai kelemahan yang mewakili sekurang-kurangnya 329 kelemahan berbeza merentas komponen perisian yang dikongsi.
• Pembaikan Mac merangkumi kelemahan akses jauh, manakala pembaikan lain melindungi data sensitif dan kebenaran kamera.
• Apple secara automatik menyekat sijil web eMudhra yang terjejas dalam Safari, Mail serta aplikasi yang menggunakan rangka kerja keselamatannya.
• Sesetengah alat baris perintah Mac memerlukan kemas kini fail sijil pada masa hadapan atau langkah penyelesaian pilihan oleh pentadbir.