Apple выпустила внеплановые обновления для iOS, iPadOS и macOS, закрывающие уязвимость нулевого дня CVE-2026-86950 в графическом фреймворке CoreGraphics. По данным компании, баг уже мог использоваться в целевых атаках на конкретных пользователей iPhone.

Уязвимость затрагивает обработку изображений на уровне системы, из-за чего вредоносный файл теоретически способен приводить к выполнению произвольного кода. Apple описывает эксплуатацию как чрезвычайно сложную, что намекает на работу профессиональных атакующих, а не массовые автоматические сканеры.

Инцидент продолжает серию патчей CoreGraphics — этот компонент регулярно всплывает в отчётах об атаках, поскольку парсит огромное количество форматов и доступен почти любому приложению. Предыдущие похожие дыры в 2021 и 2023 годах также закрывались экстренными релизами, а часть из них связывали с коммерческими шпионскими инструментами вроде Pegasus.

Обновления доступны для актуальных версий систем, установить их рекомендуется как можно быстрее, поскольку детали уязвимости Apple обычно не раскрывает до того, как большинство пользователей обновится. Формально патч не помечен как срочный для всех, но формулировка про атаки в реальной эксплуатации говорит сама за себя.

Технически это очередное напоминание, что графика — давно не «безопасная» подсистема, а полноценная поверхность атаки. Для обычных пользователей последствия минимальны, если обновиться, а вот корпоративным паркам с отложенными апдейтами стоит ускорить раскатку.