לא הייתה לחיצה, לא הייתה הורדה, ולא היה שום דבר לאשר. מספיק היה שהעמוד ייטען באייפון, ואם המכשיר רץ על גרסה ישנה של iOS, כעבור שניות כבר רצה עליו תוכנה שאוספת ממנו סיסמאות, הודעות ותמונות.

מה קרה

החוקר Kush Pandya מחברת Socket פרסם בסוף השבוע ניתוח של 13 חבילות קוד שהועלו ל-Packagist, המאגר שממנו מפתחי PHP מושכים רכיבים מוכנים לאתרים שלהם. החבילות היו ערכות עיצוב לאתרי צפייה בסרטים ובקומיקס, רובם וייטנאמיים, והן הגיעו עם תוספת שלא הופיעה בתיאור: קוד JavaScript שנשתל בכל עמוד שהאתר מגיש לגולשים שלו.

הקוד הזה בודק קודם עם מי יש לו עסק. גולש ממחשב שולחני מקבל הפניות לפרסומות ולאתרי הימורים ובזה זה נגמר, וגם סורקים אוטומטיים מסוננים החוצה. גולש מאייפון מקבל משהו אחר לגמרי: שרשרת ניצול שמתחילה בשתי חולשות ב-WebKit, מנוע הדפדפן שאפל מריצה מתחת לספארי ולמעשה מתחת לכל דפדפן באייפון, וממשיכה דרך חולשה במנהל התקן גרפי עד לקבלת הרשאות בליבת המערכת. משם התוקף כבר לא מוגבל למה שדפדפן אמור לראות.

לפי Socket נאספו מהמכשירים מסד המפתחות והסיסמאות של המערכת (ה-keychain), סיסמאות ה-Wi-Fi, הודעות SMS, אנשי קשר, תמונות, עוגיות, היסטוריית שיחות ונתוני מיקום. ב-12 באוגוסט הכניסו התוקפים עדכון לנוזקה שהוסיף יכולת אחת: חילוץ ביטויי השחזור של ארנקי קריפטו, בהם Trust Wallet, Phantom, OKX ו-Bitget. ביטוי השחזור הוא צירוף המילים שמאפשר לשחזר ארנק במכשיר אחר, כך שמי שמחזיק בו מחזיק בכסף.

את הקמפיין מייחסת Socket לגורמים וייטנאמיים, על סמך התשתית ששימשה אותו. כמה מכשירים נדבקו בפועל היא לא פרסמה.

למה זה חשוב לכם

רוב הקוראים כאן לא גולשים באתרי סרטים וייטנאמיים, וזה בדיוק החלק ששווה לא לפספס. האתרים האלה לא היו זדוניים. הם רק התקינו ערכת עיצוב פופולרית שמישהו הרעיל במקור, ואותו תרגיל עובד על כל אתר שמושך רכיב מוכן ממאגר ציבורי, בכל שפה. ההגנה שאתם באמת שולטים בה היא לא רשימת האתרים שאתם נכנסים אליהם.

המכשירים שנפגעו הם אייפון XS ועד אייפון 16 שרצים על iOS 18.4 עד 18.6.x. אפל כבר סגרה את נקודות הכניסה: הגרסאות 18.7.3 ו-26.2 מכסות את החולשות בדפדפן, והמעבר לליבה נסגר לדבריה כבר ב-26.1, לפני שהמחקר פורסם. אייפון מעודכן לא היה חשוף לשרשרת הזאת.

מה עושים?

בדקו איזו גרסה מותקנת אצלכם: הגדרות > כללי > אודות, בשורה "גרסת תוכנה". אם רשום שם 18.6 או פחות, זה הזמן.

עדכנו דרך הגדרות > כללי > עדכון תוכנה, והפעילו באותו מסך גם עדכונים אוטומטיים. באייפונים ישנים שכבר לא מקבלים את iOS 26, אפל ממשיכה להוציא עדכוני אבטחה בסדרת 18.7.

יש לכם ארנק קריפטו על אייפון שלא עודכן חודשים? אל תסתפקו בעדכון. העבירו את הנכסים לארנק חדש עם ביטוי שחזור חדש, כי הישן עלול כבר לא להיות רק שלכם.

עדכון תוכנה הוא הדבר הכי משעמם ברשימה, והוא היחיד כאן שהיה עוצר את השרשרת כולה.