Ing. Calogero Bono
Apple heeft iOS 27.2.1 uitgebracht en de bijbehorende updates voor iPadOS, macOS, watchOS en visionOS, zonder nieuwe functies maar met beveiligingsfixes. De eerste releasenotes waren mager, daarna publiceerde het bedrijf de volledige documentatie. Daarin staan lekken in iMessage, AirPlay en Bluetooth en de afsluiting van de eMudhra-certificaatkwestie op macOS. Nu de details openbaar zijn, wordt updaten nog dringender.
Een paar termen, voordat we de feiten induiken. CVE is de code die een bekende kwetsbaarheid identificeert. Certificeringsautoriteit is de instantie die certificaten uitgeeft waarmee een website bewijst dat hij de echte is. Privésleutel is het geheim waarmee die certificaten worden ondertekend. Als die uitlekt, kan iemand ze vervalsen. Opdrachtregel verwijst naar tools als curl en git, die je vanuit de terminal gebruikt en niet via systeemapps lopen. Rate limit is het maximum aantal pogingen dat is toegestaan, bijvoorbeeld bij een koppelcode.
Welke versies heeft Apple uitgebracht?
Volgens HDblog verschijnt iOS 27.2.1 twee weken na iOS 27.2 en corrigeert het bugs en beveiligingsproblemen. Tegelijk komen iPadOS, macOS Golden Gate, watchOS en visionOS 27.2.1 uit.
De correcties komen ook op oudere systemen, met 26.7.3 en 18.7.12 voor iOS en iPadOS. Voor de Mac zijn er macOS Tahoe 26.7.3 en macOS Sequoia 15.8.3, terwijl watchOS 26 naar 26.6.1 gaat.
We schreven eerder over het updatepakket van 9 november. Ondertussen loopt de beta van iOS 27.3 door, waarover we bij de eerste beta berichtten.
Wat kon er gebeuren met de lekken in iMessage?
Twee kwetsbaarheden betreffen iMessage. Via CVE-2026-113961 had een externe aanvaller zonder uitnodiging een groepsgesprek kunnen binnendringen en de berichten kunnen ontvangen. Via CVE-2026-113960 had wie aan een groep werd toegevoegd ook de berichten kunnen lezen die waren verstuurd voordat hij erbij kwam.
Dit raakt de vertrouwelijkheid van gesprekken, ook die van werk tussen collega's en medewerkers.
Welke problemen waren er met AirPlay en Bluetooth?
Volgens MacRumors betrof het grootste deel van de lekken AirPlay en Bluetooth. Een kwaadaardig Bluetooth-apparaat had zich zonder tussenkomst van de gebruiker kunnen koppelen. Een andere fout had een aanvaller in de buurt het geheugen van een proces kunnen laten beschadigen.
Meerdere bugs maakten het mogelijk de limiet op pogingen van de AirPlay-koppelcode te omzeilen. HDblog noemt ook een lek in App Intents, waardoor een app toegang kon krijgen tot gevoelige gegevens zonder de juiste rechten. Apple eigent zich vier kwetsbaarheden toe, dus die zijn intern gevonden.
Wat heeft eMudhra met macOS te maken?
Zoals 9to5Mac uitlegt, had Mozilla gemeld dat de privésleutels van acht tussenliggende certificeringsautoriteiten van eMudhra, een Indiaas bedrijf, waren gecompromitteerd. Apple blokkeerde de certificaten vanaf 19 oktober, met extra beveiligingen op de 23e, via automatische updates.
Tools zoals curl en git bleven open staan en konden die certificaten accepteren. macOS 27.2.1, 26.7.3 en 15.8.3 dichten het gat en halen vijf basiscertificaten uit /etc/ssl/cert.pem, waaronder drie van eMudhra die niet in de eerste handmatige oplossing zaten.
Apps met een eigen lijst met certificaten volgen de blokkade van Apple niet, en dat moet je aan de ontwikkelaars vragen.
Beperkingen om te kennen
Apple heeft niet gezegd of de lekken in echte aanvallen zijn misbruikt, en alle bronnen merken dat op. We weten niet hoeveel apparaten werkelijk kwetsbaar waren of of er publieke exploits bestaan. De bronnen leggen ook niet uit hoe elke afzonderlijke fout is opgelost. Het is bovendien nog niet duidelijk welke apps met eigen certificaten door ontwikkelaars worden gecorrigeerd.
Wat verandert er voor wie met digitale tools werkt
Voor wie iPhone en Mac zakelijk gebruikt, moet de update meteen gebeuren. Op iPhone en iPad ga je naar Instellingen, Algemeen, Softwareupdate. Op de Mac ga je naar Systeeminstellingen, Softwareupdate. Wie een vloot apparaten beheert, moet de geïnstalleerde versies controleren, ook de oudere zoals iOS 18.7.12.
Ontwikkelaars die curl of git op de Mac gebruiken, bijvoorbeeld in build-scripts, moeten macOS updaten of de handmatige procedure van Apple toepassen. Als een app zijn eigen basiscertificaten meebrengt, moet je dat met de maker ervan nagaan.
Ons oordeel
De correctie is terecht, maar de aanpak roept vragen op. Bijna lege releasenotes en details pas achteraf zetten je ertoe blind te installeren, terwijl aanvallers patches binnen enkele uren vergelijken. In de eMudhra-kwestie handelde Apple goed met de automatische blokkades, maar het duurde weken voordat ook de terminaltools waren gedekt, juist de tools die ontwikkelaars gebruiken. Een nuttige les voor wie servers en infrastructuur beheert. Certificaten vormen een keten, en één ongedekte schakel volstaat.
Veelgestelde vragen
Voegt iOS 27.2.1 nieuwe functies toe?
Nee. Volgens HDblog worden bugs en beveiligingsproblemen gecorrigeerd, zonder nieuwigheden. Nieuwe functies komen met iOS 27.3, dat nu in beta is.
Zijn de lekken in aanvallen misbruikt?
Dat is niet bekend. Apple heeft niet gezegd dat ze in de praktijk zijn misbruikt. Nu de details openbaar zijn, blijven niet-geüpdatete apparaten wel kwetsbaarder.
Welke oudere systemen krijgen de fixes?
De versies 26.7.3 en 18.7.12 voor iOS en iPadOS. Voor de Mac zijn er macOS Tahoe 26.7.3 en Sequoia 15.8.3, voor watchOS 26.6.1.
Wat is het eMudhra-certificaatprobleem?
Het gaat om het lekken van de privésleutels van acht tussenliggende certificeringsautoriteiten. Met die sleutels konden valse maar schijnbaar geldige certificaten worden gemaakt, om sites na te bootsen en gegevens te onderscheppen.
Hoe update ik mijn apparaat?
Op iPhone en iPad ga je naar Instellingen, Algemeen, Softwareupdate. Op de Mac open je Systeeminstellingen en kies je Softwareupdate.
Wat je na iOS 27.2.1 in de gaten houdt, tussen de 27.3-beta en apps met eigen certificaten
De patches zijn uit, maar het verhaal is nog niet af. Let op de komende releases en op het gedrag van apps die het blok van Apple niet volgen.
- Controleer of de tools die je gebruikt een eigen lijst met basiscertificaten meebrengen en vraag het na bij de ontwikkelaars.
- Volg de beta's van iOS 27.3 om te zien welke andere correcties eraan komen.
- Houd meldingen van publieke exploits voor de CVE's in iMessage, AirPlay en Bluetooth in de gaten.
