Apple vá lỗ hổng CoreGraphics đã bị khai thác trên iPhone và iPad cũ
"Apple backported security updates to older iOS and iPadOS devices to address a high-severity out-of-bounds write vulnerability in CoreGraphics (CVE-2026-86950, CVSS 8.8) that was reportedly exploited in targeted attacks. Additional fixes were included for logic issues in Audio (CVE-2026-65339) and access issues in CoreMedia (CVE-2026-86990). Updates were also released for newer OS versions, addressing hundreds of vulnerabilities."
Lỗ hổng CoreGraphics cho phép thực thi mã tùy ý, có thể dẫn đến mất kiểm soát thiết bị và đánh cắp dữ liệu.
Các doanh nghiệp sử dụng thiết bị iOS/iPadOS cũ có thể gặp rủi ro rò rỉ dữ liệu và gián đoạn hoạt động nếu không cập nhật. Việc vá lỗi này giúp giảm thiểu rủi ro bảo mật.
Apple vừa phát hành bản vá cho lỗ hổng bảo mật nghiêm trọng trong CoreGraphics (CVE-2026-86950, CVSS 8.8) cho các thiết bị iOS và iPadOS cũ hơn. Lỗ hổng này, thuộc loại out-of-bounds write, có thể cho phép thực thi mã tùy ý khi xử lý tệp độc hại.
Bản vá ban đầu được phát hành tháng trước cho iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 và macOS Sequoia 15.8.1. Apple cho biết lỗ hổng có thể đã bị khai thác trong các cuộc tấn công tinh vi nhắm vào một số ít người dùng. Bản vá hiện đã mở rộng cho iOS 18.7.11 và iPadOS 18.7.11, hỗ trợ iPhone XS, iPhone XS Max, iPhone XR, iPad thế hệ thứ 7 trở lên, iPad Air thế hệ thứ 4 trở lên, iPad 9 thế hệ trở lên và iPad mini thế hệ thứ 6 trở lên.
Ngoài ra, iOS 18.7.11 và iPadOS 18.7.11 cũng khắc phục một lỗi logic trong Audio (CVE-2026-65339) có thể dẫn đến rò rỉ thông tin người dùng nhạy cảm và một lỗ hổng truy cập trong CoreMedia (CVE-2026-86990) cho phép ứng dụng độc hại truy cập camera mà không cần quyền của người dùng. Apple cũng phát hành iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 và Safari 27.2, khắc phục hàng trăm lỗ hổng khác, bao gồm cả các lỗ hổng trong AppleAVD, CoreAudio, ImageIO, kernel, Model I/O, Screen Sharing Server, Spotlight, StorageKit và WebKit.
Một lỗ hổng ủy quyền trong Apple Intelligence (CVE-2026-86987) cũng được khắc phục, ngăn chặn kẻ tấn công truy cập dữ liệu người dùng nhạy cảm. Apple khuyến nghị cập nhật thiết bị lên phiên bản mới nhất để bảo vệ tối ưu.
Câu hỏi thường gặp
CVE-2026-86950 là gì?
CVE-2026-86950 là một lỗ hổng out-of-bounds write trong CoreGraphics, có thể cho phép thực thi mã tùy ý khi xử lý tệp độc hại. Apple đã phát hành bản vá cho lỗ hổng này.
Các thiết bị nào được hỗ trợ bản vá?
Bản vá hỗ trợ iPhone XS, iPhone XS Max, iPhone XR, iPad thế hệ thứ 7 trở lên, iPad Air thế hệ thứ 4 trở lên, iPad 9 thế hệ trở lên và iPad mini thế hệ thứ 6 trở lên.
Lỗ hổng này đã bị khai thác chưa?
Apple cho biết có báo cáo về việc lỗ hổng này có thể đã bị khai thác trong các cuộc tấn công tinh vi nhắm vào một số ít người dùng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Apple phát hành bản vá cho các thiết bị cũ cho thấy sự quan tâm đến bảo mật của người dùng. Các doanh nghiệp Việt Nam sử dụng các thiết bị iOS và iPadOS cũ trong công việc nên ưu tiên cập nhật lên phiên bản mới nhất. Điều đáng chú ý là lỗ hổng này đã bị khai thác trong thực tế, cho thấy mức độ nghiêm trọng của nó.