אפל סגרה את החולשה הזאת עוד במאי 2024, ובכל זאת היא נכנסה לקטלוג החולשות המנוצלות בפועל של CISA רק ב-4 בנובמבר 2026. היא מאפשרת לתוקף שכבר השיג יכולת לקרוא ולכתוב בזיכרון המכשיר לעקוף הגנה שאמורה לעצור אותו בשלב הבא. הציון הוא 5.5 מתוך 10, והמספר הנמוך הזה מסביר את עצמו: בלי דריסת רגל מוקדמת במכשיר אין כאן תקיפה.

מה החולשה?

כשתוכנה רצה, היא כל הזמן מחליטה לאן לקפוץ הלאה בקוד. הכתובות שאליהן היא קופצת שמורות בזיכרון, וזה בדיוק מה שתוקף מנסה לדרוס: מי שמצליח להחליף כתובת אחת כזאת קובע מה המכשיר יריץ. במכשירי אפל יש מנגנון שנועד למנוע את זה. הוא חותם על הכתובות האלה ובודק את החתימה לפני שהקוד עובר אליהן, כך שכתובת שמישהו שינה בדרך נופלת בבדיקה. למנגנון הזה קוראים Pointer Authentication.

החולשה הזאת מאפשרת לעקוף את הבדיקה. לפי הרשומה, תוקף שמחזיק ביכולת לקרוא ולכתוב בזיכרון באופן חופשי עשוי לעקוף את Pointer Authentication. אפל מתארת את התיקון כבדיקות משופרות, ואינה מפרטת מה היה חסר בבדיקות הקודמות.

שימו לב לתנאי המקדים, כי הוא כל הסיפור כאן. היכולת לקרוא ולכתוב בזיכרון באופן חופשי אינה דבר שתוקף מקבל מעצם זה שמישהו פתח דף. הוא צריך להשיג אותה קודם, והרשומה אינה אומרת איך.

הווקטור מחדד את אותו הדבר. התקיפה מקומית, כלומר מתבצעת על המכשיר ולא מול כתובת שלו ברשת, ונדרשות הרשאות בסיסיות. מבין שלושת סוגי הנזק רק הפגיעה בשלמות מסומנת כגבוהה; סודיות וזמינות מסומנות כלא נפגעות. כלומר מה שהחולשה קונה לתוקף הוא היכולת לשנות את מהלך הריצה, לא לקרוא מידע ולא להשתיק את המכשיר.

זאת חוליה בשרשרת, לא השרשרת עצמה.

מי מושפע?

הרשימה חוצה את כל משפחת המוצרים של אפל ולא רק את האייפון. מושפעים Safari שלפני 17.5, iOS ו-iPadOS שלפני 17.5, ובענף 16 כל מה שלפני 16.7.8, macOS Sonoma מ-14.0 ועד 14.5, tvOS שלפני 17.5 ו-watchOS שלפני 10.5.

אותה חולשה רשומה גם מחוץ לעולם של אפל, על מנועי דפדפן בקוד פתוח: WebKitGTK ו-WPE WebKit שלפני 2.44.2, ובכלל זה החבילות של Fedora 39 ו-Fedora 40.

בישראל, שבה נתח מכשירי אפל גבוה, הקהל הפוטנציאלי גדול, אבל בפועל רובו מעודכן מזמן. גרסאות התיקון יצאו במאי 2024, ומכשיר שמתעדכן לבד עבר אותן לפני יותר משנתיים. מי שכן נמצא ברשימה הוא מי שהמכשיר שלו נעצר: אייפון או אייפד ותיק שנשאר בענף 16 ולא הגיע ל-16.7.8, מחשב שתקוע ב-Sonoma מתחת ל-14.5, ו-Apple TV או Apple Watch שאיש אינו נתקל במסך העדכונים שלהם.

האם מנוצלת בפועל?

כן, ובאיחור ניכר. ב-4 בנובמבר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בשטח. הרשומה ב-NVD פורסמה ב-14 במאי 2024, כך שבין הפרסום לרישום עברו שנתיים וחצי.

המועד שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול הוא 18 בנובמבר 2026, שבועיים אחרי הרישום.

הקטלוג אינו מסביר מה הוביל לרישום דווקא עכשיו ואינו מצביע על קבוצת תוקפים. מה שהוא כן קובע הוא שחולשה שקיבלה ציון בינוני, שדורשת תנאי מקדים לא פשוט ושתוקנה לפני שנתיים וחצי, נמצאת בשימוש בפועל.

מה עושים?

1. באייפון ובאייפד: הגדרות, אחר כך כללי, אחר כך עדכון תוכנה. אם המכשיר על ענף 17 ומעלה, היעד הוא 17.5 ומעלה. אם הוא מכשיר ותיק שנשאר בענף 16 ואינו מציע לכם את 17, היעד הוא 16.7.8. שתי הגרסאות סוגרות את החולשה, כל אחת בענף שלה.

2. במחשב: תפריט אפל, הגדרות מערכת, כללי, עדכון תוכנה. היעד הוא macOS Sonoma 14.5 ומעלה. Safari מגיע עם עדכון המערכת, ואם אצלכם הוא מופיע כעדכון נפרד היעד שלו הוא 17.5.

3. אל תדלגו על המכשירים שאינכם מחזיקים ביד. ב-Apple TV היעד הוא tvOS 17.5, וב-Apple Watch הוא watchOS 10.5. את עדכון השעון מפעילים מאפליקציית Watch באייפון, בלשונית כללי. אלה שני המכשירים שבדרך כלל נשארים מעודכנים פחות, פשוט מפני שאיש אינו רואה אצלם את ההתראה.

4. על לינוקס: WebKitGTK ו-WPE WebKit בגרסה 2.44.2 ומעלה. ב-Fedora 39 וב-Fedora 40 זה מגיע דרך עדכון החבילות הרגיל.

רשימת הגרסאות המלאה לכל מוצר מופיעה בהודעות האבטחה של אפל.