Apple vá lỗ hổng bảo mật iMessage, Bluetooth và AirPlay
"Apple released updates to address multiple security vulnerabilities affecting iMessage, Bluetooth, and AirPlay. These include authorization issues in iMessage (CVE-2026-113961, CVE-2026-113960) allowing unauthorized access to group chats and messages, as well as flaws in Bluetooth enabling pairing without user interaction and potential memory corruption. A vulnerability in Google's Brotli compression library (CVE-2026-111497) is also addressed."
Các lỗ hổng trong iMessage và Bluetooth có thể dẫn đến lộ thông tin và truy cập trái phép. Đặc biệt, lỗ hổng CVE-2026-113961 cho phép kẻ tấn công từ xa tham gia cuộc trò chuyện nhóm.
Các lỗ hổng này có thể ảnh hưởng đến các doanh nghiệp sử dụng iMessage để trao đổi thông tin nhạy cảm. Việc cập nhật phần mềm là cần thiết để giảm thiểu rủi ro.
Apple phát hành bản cập nhật để khắc phục nhiều lỗ hổng bảo mật ảnh hưởng đến iMessage, Bluetooth và AirPlay. Các lỗ hổng này bao gồm vấn đề ủy quyền trong iMessage (CVE-2026-113961, CVE-2026-113960) cho phép truy cập trái phép vào các cuộc trò chuyện nhóm và tin nhắn, cũng như các lỗi trong Bluetooth có thể cho phép ghép nối thiết bị mà không cần tương tác của người dùng và gây ra lỗi bộ nhớ. Apple cũng vá lỗ hổng trong thư viện nén Brotli của Google (CVE-2026-111497).
Các bản cập nhật này quan trọng với người dùng iPhone, iPad và Apple Watch vì chúng giải quyết các rủi ro bảo mật tiềm ẩn. Việc không cập nhật có thể để lộ tin nhắn iMessage cho người không có quyền hoặc cho phép kết nối Bluetooth trái phép. Các bản cập nhật dành cho iPhone XS, XS Max và XR, iPad (thế hệ thứ 7) và một số mẫu Apple Watch hiện chưa bao gồm các bản sửa lỗi này.
Lỗ hổng CVE-2026-113961 cho phép kẻ tấn công từ xa tham gia cuộc trò chuyện nhóm và nhận tin nhắn. Lỗ hổng CVE-2026-113960 cho phép người mới được thêm vào nhóm truy cập tin nhắn đã gửi trước khi họ tham gia. CISA đã thêm lỗ hổng Brotli (CVE-2026-111497) vào danh mục các lỗ hổng đã biết được khai thác từ ngày 27 tháng 10. Lỗ hổng này là lỗi ghi ngoài giới hạn trong bộ giải mã của thư viện, có thể làm hỏng bộ nhớ.
Tất cả chín bản cập nhật đều khắc phục các lỗ hổng liên quan đến Bluetooth và AirPlay. Hai lỗ hổng cho phép thiết bị Bluetooth độc hại hoặc kẻ tấn công trong phạm vi Bluetooth ghép nối với thiết bị mà không cần tương tác của người dùng. Hai lỗ hổng khác cho phép kẻ tấn công bỏ qua giới hạn số lần thử mã ghép nối, một từ phạm vi Bluetooth và một từ cùng mạng. Một lỗ hổng khác có thể cho phép kẻ tấn công trong phạm vi Bluetooth làm hỏng bộ nhớ quy trình. Bạn nên kiểm tra xem thiết bị của mình có bản cập nhật mới nhất hay không.
Câu hỏi thường gặp
CVE-2026-113961 là gì?
CVE-2026-113961 là một lỗ hổng ủy quyền trong iMessage cho phép kẻ tấn công từ xa tham gia cuộc trò chuyện nhóm và nhận tin nhắn. Apple đã khắc phục lỗ hổng này thông qua cải thiện quy trình xác thực.
Lỗ hổng Brotli ảnh hưởng đến những gì?
Lỗ hổng CVE-2026-111497 trong thư viện nén Brotli của Google là lỗi ghi ngoài giới hạn trong bộ giải mã, có thể cho phép đầu vào độc hại làm hỏng bộ nhớ. CISA đã thêm lỗ hổng này vào danh mục các lỗ hổng đã biết.
Các bản cập nhật Bluetooth và AirPlay khắc phục những vấn đề gì?
Các bản cập nhật khắc phục các lỗ hổng cho phép ghép nối Bluetooth không cần tương tác của người dùng, bỏ qua giới hạn số lần thử mã ghép nối và làm hỏng bộ nhớ quy trình.
Góc nhìn của Orange Cloud
Theo chúng tôi, các bản vá này đặc biệt quan trọng đối với các doanh nghiệp Việt Nam sử dụng iMessage để trao đổi thông tin nhạy cảm. Việc cập nhật lên phiên bản mới nhất sẽ giảm thiểu rủi ro bị lộ thông tin. Điều đáng chú ý là các bản cập nhật cho một số thiết bị cũ hơn vẫn chưa bao gồm các bản sửa lỗi này, vì vậy người dùng cần kiểm tra kỹ lưỡng.