Apple opublikował awaryjne aktualizacje dla iOS, iPadOS, macOS Tahoe, tvOS, watchOS i visionOS, usuwające lukę zero-day wykorzystywaną w ukierunkowanych, wyrafinowanych atakach.
🔎 Luka
- CVE-2026-20700 (CVSS 7.8)
- Uszkodzenie pamięci w dyld (Dynamic Link Editor)
- Może umożliwić wykonanie dowolnego kodu na podatnych urządzeniach
- Odkryta i zgłoszona przez Google Threat Analysis Group (TAG)
Apple potwierdził, że luka mogła być wykorzystywana w wysoce ukierunkowanych atakach na konkretne osoby w starszych wersjach iOS 26.
🧠 Powiązane luki
Apple wskazał też dwie wcześniej załatane luki:
- CVE-2025-14174 – dostęp do pamięci poza zakresem w rendererze Metal biblioteki ANGLE
- CVE-2025-43529 – use-after-free w WebKit umożliwiający wykonanie kodu za pomocą złośliwych treści internetowych
Obie zostały usunięte pod koniec 2025 roku, ale powiązano je z szerszym raportem o wykorzystaniu luk.
📦 Podatne i zaktualizowane platformy
Aktualizacje są już dostępne dla:
- iOS 26.3 / iPadOS 26.3 (iPhone 11+ i obsługiwane iPady)
- macOS Tahoe 26.3
- tvOS 26.3
- watchOS 26.3
- visionOS 26.3
- Aktualizacje dla starszych wersji: iOS 18.7.5, macOS Sequoia i Sonoma oraz Safari 26.3
⚠️ Dlaczego to ważne
To pierwsza aktywnie wykorzystywana luka zero-day w produktach Apple w 2026 roku, po dziewięciu lukach zero-day załatanych w 2025 roku.
Nawet w pełni kontrolowane ekosystemy nie są odporne na zaawansowane, ukierunkowane ataki.
🧩 Wniosek dla kadry zarządzającej
Organizacje zarządzające flotami urządzeń Apple powinny nadać priorytet szybkiemu wdrażaniu poprawek — zwłaszcza dla użytkowników wysokiego ryzyka lub kadry zarządzającej — ponieważ luki związane z uszkodzeniem pamięci nadal są preferowanym wektorem w kampaniach ukierunkowanych.
