PoC công khai cho lỗi Apple CoreGraphics, WhatsApp được xem xét như một kênh phát tán
"Researchers published a public proof-of-concept for CVE-2026-86950, an Apple CoreGraphics memory corruption flaw triggered by a malicious PDF containing a crafted embedded font. Apple patched the issue on September 28 and CISA added it to the Known Exploited Vulnerabilities catalog; the PoC demonstrates a crash and out-of-bounds write, but not full code execution, while WhatsApp attachment-scanner changes were examined as a possible delivery path without confirmation."
Ảnh hưởng cao do lỗ hổng đã bị khai thác và có PoC công khai; rủi ro tăng với hệ thống chưa vá và luồng xử lý PDF/font.
Có thể ảnh hưởng đến thiết bị người dùng cuối và quy trình nhận tài liệu; cần ưu tiên triển khai bản vá và rà soát kênh nhắn tin/attachment.
Các nhà nghiên cứu đã công bố proof-of-concept (PoC) công khai cho CVE-2026-86950, một lỗi memory corruption trong Apple CoreGraphics có thể bị kích hoạt bằng PDF độc hại chứa font nhúng được tạo đặc biệt. Theo mô tả, PoC hiện tại chỉ chứng minh được crash và out-of-bounds write, chưa cho thấy remote code execution hoàn chỉnh.
Apple đã vá lỗi vào ngày 28/9 và cho biết lỗ hổng có thể đã bị khai thác trong một cuộc tấn công cực kỳ tinh vi nhắm vào một số cá nhân cụ thể. CISA cũng đã đưa CVE-2026-86950 vào Known Exploited Vulnerabilities catalog, yêu cầu các cơ quan liên bang áp dụng bản vá trước ngày 2/10.
Phân tích kỹ thuật cho thấy lỗi nằm ở cách CoreGraphics xử lý tọa độ glyph khi chuyển đổi sang định dạng fixed-point, dẫn đến tính sai kích thước vùng đệm và ghi tràn ra ngoài. Nhóm nghiên cứu cũng xem xét các thay đổi trong WhatsApp attachment scanner như một kênh phát tán tiềm năng, nhưng chưa có xác nhận rằng WhatsApp là đường khai thác thực tế.
Khuyến nghị: cập nhật iOS/macOS ngay, hạn chế mở PDF từ nguồn không tin cậy, và theo dõi thêm thông tin từ Apple, CISA và Meta về chuỗi khai thác nếu có.