أصدرت Apple في 26 أكتوبر 2026 التحديثين iOS 18.7.11 وiPadOS 18.7.11 لمعالجة ثغرة أمنية في مكون CoreGraphics تحمل المعرف (CVE-2026-86950 بتقييم CVSS عند 8.8). وأكدت الشركة تلقيها تقارير تشير إلى احتمالية استغلال هذه الثغرة ضمن هجمات بالغة التعقيد موجهة ضد أفراد محددين يستخدمون إصدارات iOS الأقدم من الإصدار 27.
تتمثل الثغرة في خلل برمجي يتيح الكتابة خارج الحدود، ونتيجة لذلك يمكن أن تؤدي معالجة ملف مصمم خصيصاً إلى تنفيذ أوامر عشوائية على الجهاز المستهدف. وطبقت Apple تحسينات على آليات فحص الحدود لمعالجة هذا الخلل الذي اكتشفه فريق Meta Product Security.
سبق أن طرحت الشركة إصلاحاً أولياً للثغرة ذاتها في 28 سبتمبر 2026 عبر أنظمة iOS وiPadOS 26.7.1 وmacOS Tahoe 26.7.1 وmacOS Sequoia 15.8.1. وبناء على ذلك، أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) هذا الخلل ضمن فهرس الثغرات المستغلة فعلياً (KEV) في 29 سبتمبر. وتؤكد الوكالة عبر سجل NVD وجود استغلال نشط للثغرة، مع الإشارة في الفهرس إلى عدم توفر بيانات حول توظيفها في حملات برمجيات الفدية.
يحدد سجل NVD قائمة الإصدارات المتأثرة لتشمل أنظمة iOS وiPadOS ما قبل 18.7.11، والإصدارات 26 ما قبل 26.7.1، ونظام macOS Sequoia ما قبل 15.8.1، ونظام macOS Tahoe ما قبل 26.7.1. ويصنف فهرس CISA هذا الخلل ضمن فئة CWE-787 المرتبطة بالكتابة خارج الحدود، ملزماً الجهات الاتحادية الأمريكية بتطبيق تدابير الشركة المصنعة بموجب التوجيه التشغيلي BOD 26-04 بمهلة أقصاها 13 أكتوبر 2026. وتؤكد نشرتا iOS الصادرتان عن Apple انحصار الاستغلال المعلن في إصدارات النظام السابقة للإصدار 27.
اقتصرت تغطية تحديث iOS 26.7.1 على أجهزة iPhone 11 والإصدارات الأحدث، واستبعدت هواتف iPhone XS وiPhone XS Max وiPhone XR من حزمة الإصلاح الأولى. وجاء تحديث iOS 18.7.11 ليشمل هذه الأجهزة الثلاثة بالإضافة إلى الجيل السابع من أجهزة iPad، وذلك بعد انقضاء 28 يوماً على التحديث الأول. وتكتمت الشركة في نشرتها الأمنية على تفاصيل الهجوم المكتشف وحجم الشريحة المستهدفة.
يتضمن التحديث الجديد معالجة لثغرتين إضافيتين لم تُرصد أي مؤشرات على استغلالهما. تتمثل الأولى بالمعرف (CVE-2026-86990) ضمن مكون CoreMedia، وتسمح للتطبيقات الخبيثة بالوصول إلى الكاميرا متجاوزة أذونات المستخدم، واكتشفها الباحث Mustafa Calap. وتتعلق الثانية بالمعرف (CVE-2026-65339) في مكون Audio، وهي خلل منطقي يسرب البيانات الحساسة، واكتشفها الباحث ذاته بالتعاون مع Nik Tsytsarkin من فريق Meta Red Team X.
وأصدرت Apple في اليوم نفسه iOS 27.2 وiPadOS 27.2، ولا تذكر نشرتهما استغلالاً لأي من ثغراتهما ولا ترد فيهما CVE-2026-86950. ولم تذكر Apple حلاً مؤقتاً للثغرة، والمعالجة التي تنشرها هي التحديث.
