Ing. Calogero Bono
Apple telah merilis iOS 27.2.1 dan pembaruan kembarnya untuk iPadOS, macOS, watchOS, dan visionOS, tanpa fitur baru tetapi dengan perbaikan keamanan. Catatan awalnya sangat singkat, lalu perusahaan menerbitkan dokumentasi lengkapnya. Di dalamnya ada celah di iMessage, AirPlay, dan Bluetooth, serta penutupan kasus sertifikat eMudhra di macOS. Sekarang setelah detailnya terbuka untuk publik, memperbarui perangkat menjadi lebih mendesak.
Beberapa istilah sebelum kita masuk ke faktanya. CVE adalah kode yang mengidentifikasi kerentanan yang sudah diketahui. Otoritas sertifikasi adalah lembaga yang menerbitkan sertifikat yang membuktikan sebuah situs memang asli. Kunci privat adalah rahasia yang memungkinkan penandatanganan sertifikat tersebut, dan jika bocor bisa dipakai untuk memalsukannya. Command line merujuk pada alat seperti curl dan git, yang digunakan lewat terminal dan tidak melewati aplikasi sistem. Rate limit adalah batas jumlah percobaan yang diizinkan, misalnya pada kode pemasangan.
Versi apa saja yang dirilis Apple?
Menurut HDblog, iOS 27.2.1 hadir dua minggu setelah iOS 27.2 dan memperbaiki bug serta masalah keamanan. Bersamaan dengan itu keluar iPadOS, macOS Golden Gate, watchOS, dan visionOS 27.2.1.
Perbaikan juga tersedia untuk sistem sebelumnya, dengan 26.7.3 dan 18.7.12 untuk iOS dan iPadOS. Untuk Mac ada macOS Tahoe 26.7.3 dan macOS Sequoia 15.8.3, sementara watchOS 26 naik ke 26.6.1.
Kami sebelumnya sudah membahas paket pembaruan tanggal 9 November. Sementara itu, beta iOS 27.3 terus berjalan, dan kami sudah menulis tentangnya saat beta pertama dirilis.
Apa yang bisa dilakukan lewat celah iMessage?
Dua kerentanan menyangkut iMessage. Dengan CVE-2026-113961, penyerang jarak jauh bisa masuk ke obrolan grup tanpa undangan dan menerima pesan. Dengan CVE-2026-113960, siapa pun yang ditambahkan ke grup bisa membaca pesan yang dikirim sebelum dia bergabung.
Skenario ini menyangkut kerahasiaan percakapan, termasuk percakapan kerja antar rekan dan kolaborator.
Masalah apa saja di AirPlay dan Bluetooth?
Menurut MacRumors, sebagian besar celah ada di AirPlay dan Bluetooth. Perangkat Bluetooth berbahaya bisa terhubung tanpa interaksi pengguna. Cacat lain memungkinkan penyerang di sekitar merusak memori sebuah proses.
Beberapa bug memungkinkan orang melewati batas percobaan pada kode pemasangan AirPlay. HDblog juga menyebut celah di App Intents, yang bisa memberi aplikasi akses ke data sensitif tanpa izin. Apple mengklaim empat kerentanan, berarti ditemukan secara internal.
Apa hubungan eMudhra dengan macOS?
Seperti dijelaskan 9to5Mac, Mozilla melaporkan bocornya kunci privat dari delapan otoritas sertifikasi perantara yang dikelola eMudhra, perusahaan India. Apple memblokir sertifikat tersebut mulai 19 Oktober, dengan perlindungan tambahan pada 23 Oktober, melalui pembaruan otomatis.
Alat seperti curl dan git masih terbuka dan bisa menerima sertifikat tersebut. macOS 27.2.1, 26.7.3, dan 15.8.3 menutup celah itu dan menghapus lima sertifikat root dari /etc/ssl/cert.pem, termasuk tiga milik eMudhra yang belum tercakup dalam solusi manual awal.
Aplikasi dengan daftar sertifikat sendiri tidak mengikuti pemblokiran Apple, dan hal ini perlu ditanyakan kepada pengembangnya.
Batasan yang perlu diketahui
Apple belum menyebutkan apakah celah tersebut pernah dieksploitasi dalam serangan nyata, dan semua sumber mencatat hal ini. Kita tidak tahu berapa banyak perangkat yang benar-benar terpapar atau apakah ada eksploit publik. Sumber-sumber juga tidak menjelaskan bagaimana setiap cacat diperbaiki. Masih perlu dilihat aplikasi mana dengan sertifikat sendiri yang akan diperbaiki oleh pengembangnya.
Apa yang berubah bagi yang bekerja dengan dunia digital
Bagi yang menggunakan iPhone dan Mac di kantor, pembaruan sebaiknya dilakukan sekarang. Di iPhone dan iPad, buka Pengaturan, Umum, lalu Pembaruan Perangkat Lunak. Di Mac, buka Pengaturan Sistem, lalu Pembaruan Perangkat Lunak. Siapa pun yang mengelola banyak perangkat sebaiknya memeriksa versi yang terpasang, termasuk versi lama seperti iOS 18.7.12.
Pengembang yang memakai curl atau git di Mac, misalnya dalam skrip build, perlu memperbarui macOS atau menerapkan prosedur manual dari Apple. Jika sebuah aplikasi membawa sertifikat root sendiri, perlu dicek dengan pembuatnya.
Pendapat kami
Perbaikannya tepat, tetapi caranya membuat ragu. Catatan yang hampir kosong saat rilis dan detail yang baru muncul kemudian mendorong orang memasang pembaruan tanpa tahu isinya, padahal penyerang membandingkan patch dalam hitungan jam. Untuk kasus eMudhra, Apple bertindak baik dengan pemblokiran otomatis, tetapi butuh berminggu-minggu untuk menutup alat terminal yang justru dipakai pengembang. Pelajaran yang berguna bagi siapa pun yang mengelola server dan infrastruktur. Sertifikat itu sebuah rantai, dan satu mata rantai yang terbuka sudah cukup.
Pertanyaan yang sering diajukan
Apakah iOS 27.2.1 menambahkan fitur baru?
Tidak. Menurut HDblog, pembaruan ini memperbaiki bug dan masalah keamanan tanpa fitur baru. Fitur baru akan hadir di iOS 27.3, yang saat ini masih dalam beta.
Apakah celah ini sudah dieksploitasi dalam serangan?
Belum diketahui. Apple tidak menyatakan bahwa celah tersebut dieksploitasi di dunia nyata. Karena detailnya kini sudah terbuka, perangkat yang belum diperbarui tetap lebih rentan.
Sistem versi lama mana yang mendapat perbaikan?
Untuk iOS dan iPadOS, versi 26.7.3 dan 18.7.12. Untuk Mac ada macOS Tahoe 26.7.3 dan Sequoia 15.8.3, sedangkan untuk watchOS versi 26.6.1.
Apa masalah sertifikat eMudhra itu?
Itu adalah bocornya kunci privat dari delapan otoritas sertifikasi perantara. Dengan kunci tersebut, orang bisa membuat sertifikat palsu yang tampak sah, untuk menyalin situs dan menyadap data.
Bagaimana cara memperbarui perangkat saya?
Di iPhone dan iPad, buka Pengaturan, Umum, lalu Pembaruan Perangkat Lunak. Di Mac, buka Pengaturan Sistem dan pilih Pembaruan Perangkat Lunak.
Yang perlu dipantau setelah iOS 27.2.1, antara beta 27.3 dan aplikasi dengan sertifikat sendiri
Patch sudah keluar, tetapi ceritanya belum selesai. Yang penting adalah rilis berikutnya dan perilaku aplikasi yang tidak mengikuti pemblokiran Apple.
- Periksa apakah alat yang kamu pakai membawa daftar sertifikat root sendiri, lalu tanyakan kepada pengembangnya.
- Ikuti beta iOS 27.3 untuk mengetahui perbaikan lain yang akan datang.
- Pantau laporan eksploit publik untuk CVE di iMessage, AirPlay, dan Bluetooth.
