Η Apple αναγκάστηκε να αντιδράσει επειγόντως σε ένα πρόβλημα ασφαλείας που επηρέαζε το λειτουργικό σύστημα για κινητά. Η εταιρεία κυκλοφόρησε μια επείγουσα ενημέρωση για να διορθώσει ένα κενό ασφαλείας στη μηχανή γραφικών που ήδη εκμεταλλεύονταν οι εισβολείς. Το ελάττωμα, που αναγνωρίστηκε ως CVE-2026-86950, βρίσκεται στο CoreGraphics, το στοιχείο που είναι υπεύθυνο για την απόδοση της διεπαφής και των οπτικών στοιχείων σε iPhone, iPad και Mac. Σύμφωνα με την Apple, η επίθεση στόχευσε συγκεκριμένα άτομα χρησιμοποιώντας μια εξαιρετικά εξελιγμένη μέθοδο , όχι το ευρύ κοινό.
Τα νέα έρχονται σε μια κρίσιμη στιγμή, επειδή η συντριπτική πλειοψηφία των χρηστών δεν έχει ακόμη ενημερώσει το λειτουργικό σύστημα στην τελευταία έκδοση. Στην πραγματικότητα, σχεδόν τέσσερα στα πέντε ενεργά iPhone εξακολουθούν να χρησιμοποιούν iOS 26 , σύμφωνα με δεδομένα που παρέχει η ίδια η Apple στους προγραμματιστές. Αυτό σημαίνει ότι ένα τεράστιο μέρος του στόλου συσκευών της Apple διατρέχει κίνδυνο εάν η ενημέρωση κώδικα δεν εφαρμοστεί το συντομότερο δυνατό. Η ενημέρωση διορθώνει την ευπάθεια σε iOS, iPadOS και macOS, αν και οι πηγές που συμβουλεύτηκαν δεν συμφωνούν σχετικά με τον ακριβή αριθμό έκδοσης, επομένως συνιστάται να ελέγξετε χειροκίνητα τις ρυθμίσεις της συσκευής σας.
Τι ακριβώς κάνει το ελάττωμα και γιατί είναι επικίνδυνο;
Το CoreGraphics δεν είναι ένα δευτερεύον στοιχείο μέσα στο σύστημα. Είναι το επίπεδο που διαχειρίζεται σχεδόν όλα όσα εμφανίζονται στην οθόνη , συμπεριλαμβανομένου του περιεχομένου κρυπτογραφημένων εφαρμογών από άκρο σε άκρο όπως το WhatsApp, το Signal και το iMessage. Ένα exploit που καταφέρνει να διεισδύσει σε αυτό το επίπεδο μπορεί να καταγράψει δεδομένα πριν φτάσουν στο κρυπτογραφημένο κανάλι, καθιστώντας την προστασία της επικοινωνίας αναποτελεσματική. Αυτός είναι ο λόγος για τον οποίο οι κατασκευαστές spyware είναι πρόθυμοι να πληρώσουν εκατομμύρια δολάρια για τρωτά σημεία αυτού του είδους.
Η προειδοποίηση της Apple περιγράφει την επίθεση ως εξαιρετικά εξελιγμένη και στοχευμένη . Αυτή είναι η γλώσσα που χρησιμοποιεί συνήθως η εταιρεία όταν η ευπάθεια έχει εκμεταλλευτεί ομάδες ψηφιακών μισθοφόρων ή κρατικοί φορείς εναντίον δημοσιογράφων, ακτιβιστών, στελεχών ή δημόσιων αξιωματούχων. Δεν πρόκειται, επομένως, για μαζική εκστρατεία εναντίον απλών χρηστών, αλλά η πιθανή έκθεση παραμένει πολύ υψηλή λόγω του μεγάλου αριθμού συσκευών που δεν έχουν ακόμη ενημερωθεί.
Το δεύτερο σφάλμα μηδενικού κλικ που έχει επίσης διορθωθεί
Εκτός από το CVE-2026-86950, η Apple έπρεπε να αντιμετωπίσει ένα άλλο εξίσου σοβαρό ελάττωμα ασφαλείας: το CVE-2026-86869. Αυτό το κενό ασφαλείας μηδενικού κλικ ενεργοποιείται αυτόματα από τον χρήστη που απλώς λαμβάνει ένα παραποιημένο iMessage. Η βελγική εταιρεία κυβερνοασφάλειας ironPeak δημοσίευσε μια τεχνική ανάλυση που περιγράφει λεπτομερώς πώς αυτό το ελάττωμα θα μπορούσε να παρακάμψει το BlastDoor, την προστασία που σχεδίασε η Apple για την απομόνωση κακόβουλου κώδικα στο περιβάλλον iMessage.
Αυτό το δεύτερο σφάλμα διορθώθηκε από την Apple με την κυκλοφορία του iOS 27 και η εταιρεία απέδωσε την ανακάλυψή του στον Niels Hofmans της ironPeak, καθώς και σε ερευνητές ασφαλείας της Meta, οι οποίοι επιβεβαίωσαν τα ευρήματα. Δεν υπάρχει δημόσια επιβεβαίωση ότι αυτό το συγκεκριμένο ελάττωμα χρησιμοποιήθηκε σε πραγματικές επιθέσεις πριν διορθωθεί, αν και η φύση του χωρίς κλικ το καθιστά ένα εξαιρετικά περιζήτητο εργαλείο στην αγορά spyware.
Ο ρόλος του Meta και το πλαίσιο της αγοράς zero-day
Αξίζει να σημειωθεί ότι η ομάδα ασφάλειας προϊόντων της Meta ήταν υπεύθυνη για την ανακάλυψη της κύριας ευπάθειας, CVE-2026-86950. Η εταιρεία, με επικεφαλής τον Mark Zuckerberg, έχει ελεγχθεί για άλλα ζητήματα που σχετίζονται με την προστασία της ιδιωτικής ζωής, αλλά οι ερευνητές ασφαλείας της έχουν επανειλημμένα αποδείξει την ικανότητά τους να εντοπίζουν κρίσιμα ελαττώματα στα συστήματα άλλων εταιρειών. Η εύρεση σφαλμάτων και η προστασία δεδομένων είναι δύο ξεχωριστές δραστηριότητες και είναι σημαντικό να μην συγχέονται κατά την αξιολόγηση της αξιοπιστίας μιας τεχνικής ομάδας.
Η αγορά zero-day αξίζει δισεκατομμύρια δολάρια ετησίως και λειτουργεί σε ένα σχεδόν πλήρες κανονιστικό κενό. Οι κυβερνήσεις, οι εταιρείες spyware και οι εγκληματικές ομάδες πληρώνουν τους ερευνητές πολύ περισσότερα από ό,τι προσφέρει το πρόγραμμα bug bouncy της Apple. Ο κύκλος επαναλαμβάνεται: η ευπάθεια ανακαλύπτεται, η ενημέρωση κώδικα κυκλοφορεί και οι κατασκευαστές spyware αναζητούν αμέσως την επόμενη . Όσο αυτό το οικοσύστημα συνεχίζει να λειτουργεί με τα τρέχοντα κίνητρα, η διατήρηση του λειτουργικού σας συστήματος χωρίς ενημερώσεις κώδικα θα είναι κακή ιδέα.
Η σύσταση για τους χρήστες είναι σαφής: ελέγξτε την έκδοση iOS ή iPadOS στις ρυθμίσεις της συσκευής σας και εφαρμόστε την επείγουσα ενημέρωση που κυκλοφόρησε η Apple το συντομότερο δυνατό. Εάν η συσκευή σας εκτελεί ήδη iOS 27, ο κίνδυνος εξαφανίζεται, αλλά εξακολουθεί να συνιστάται να βεβαιωθείτε ότι έχετε την πιο πρόσφατη διαθέσιμη έκδοση. Για όσους εξακολουθούν να χρησιμοποιούν iOS 26, η ενημέρωση κώδικα είναι η μόνη πρακτική άμυνα έναντι μιας ευπάθειας που έχει ήδη αξιοποιηθεί σε πραγματική χρήση . Αυτό δεν έχει σκοπό να προκαλέσει συναγερμό, αλλά είναι σημαντικό να λαμβάνεται σοβαρά υπόψη μια απειλή που, αν και στοχεύει σε συγκεκριμένους χρήστες, αφήνει μια ευπάθεια ανοιχτή σε εκατομμύρια συσκευές.
