אפל שחררה עדכוני אבטחה לאייפון, לאייפד ולמק שמתקנים חולשה בבדיקת ההרשאות של המערכת. אפליקציה שכבר מותקנת ורצה על המכשיר יכולה לנצל אותה כדי להשיג הרשאות root, כלומר שליטה מלאה. לא ידוע על ניצול בשטח, והעדכון כבר זמין.

מה החולשה?

מערכת הפעלה מודרנית מפרידה בין מה שאפליקציה רגילה רשאית לעשות לבין מה שהמערכת עצמה רשאית לעשות. אפליקציה יכולה לגשת לקבצים שלה, אבל לא לשנות את המערכת ולא לקרוא את הנתונים של אפליקציות אחרות. רמת ההרשאה הגבוהה ביותר נקראת root, והיא מאפשרת הכול.

החולשה כאן היא בעיה בניהול ההרשאות. המערכת לא שמרה נכון על המצב שקובע מי רשאי לעשות מה, ולכן היה אפשר לגרום לה לאשר פעולה שהייתה אמורה להיחסם. אפל תיקנה את זה בכך שהמערכת עוקבת אחרי המצב הזה בצורה מדויקת יותר.

מה שהופך את התיקון לחשוב הוא לא הנזק הישיר אלא מה שהוא פותח בהמשך. אפליקציה שמשיגה root יכולה לקרוא נתונים של אפליקציות אחרות, ולהישאר על המכשיר גם אחרי הפעלה מחדש.

מי מושפע?

הגרסאות שקיבלו תיקון הן iOS ו-iPadOS 18.7.9, iOS ו-iPadOS 26.5, ובמק macOS Sonoma 14.8.7, macOS Sequoia 15.7.7 ו-macOS Tahoe 26.5. מכשיר שמריץ גרסה מוקדמת יותר מאלה חשוף.

יש כאן נקודה שמצמצמת את הסיכון בפועל, ושווה להגיד אותה במפורש: הניצול דורש קוד שכבר רץ על המכשיר. אין כאן דרך לתקוף מכשיר מרחוק דרך אתר או הודעה. המשמעות היא שהסיכון מתממש בעיקר אצל מי שמתקין אפליקציות ממקורות לא רשמיים, או במכשיר שכבר נדבק בדרך אחרת.

האם מנוצלת בפועל?

נכון לעדכון האחרון של הדף הזה, החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח. כלומר אין דיווח פומבי על ניצול.

שימו לב לניסוח. המשמעות היא שלא ידוע על ניצול, ולא שאין כזה. חולשה שמאפשרת השגת הרשאות מלאות היא מטרה מבוקשת, ולכן שווה לעדכן גם כשאין דיווח.

מה עושים?

עדכנו את המכשיר. זה כל מה שנדרש כאן, ולוקח כמה דקות.

באייפון ובאייפד: הגדרות, כללי, עדכון תוכנה. ודאו שאתם על 18.7.9 או על 26.5, לפי הגרסה שהמכשיר שלכם תומך בה.

במק: הגדרות המערכת, כללי, עדכון תוכנה. הגרסאות המתוקנות הן 14.8.7 עבור Sonoma, 15.7.7 עבור Sequoia ו-26.5 עבור Tahoe.

באותו מסך אפשר להדליק עדכונים אוטומטיים, ובמקרה הזה זה שווה את זה. רוב עדכוני האבטחה של אפל מתקנים בדיוק חולשות מהסוג הזה, והפער בין הרגע שהתיקון יוצא לרגע שהוא מותקן אצלכם הוא החלון שבו תוקף יכול לפעול.

אם המכשיר ישן מכדי לקבל את העדכון, המסך הזה יראה לכם עד איזו גרסה הוא כן מגיע.