Ing. Calogero Bono
Apple выпустила iOS 27.2.1 и парные обновления для iPadOS, macOS, watchOS и visionOS. Новых функций нет, зато есть исправления безопасности. Сначала заметки к релизу были скупыми, но потом компания опубликовала полную документацию. В ней есть уязвимости в iMessage, AirPlay и Bluetooth, а также закрытие истории с сертификатами eMudhra в macOS. Теперь, когда детали стали публичными, обновиться стало еще важнее.
Несколько терминов, прежде чем перейти к фактам. CVE — это код, который идентифицирует известную уязвимость. Центр сертификации — организация, которая выдает сертификаты, по которым сайт подтверждает, что он настоящий. Закрытый ключ — секрет, которым подписываются эти сертификаты, и если он утечет, по нему можно подделать сертификаты. Командная строка — инструменты вроде curl и git, которыми пользуются из терминала и которые не проходят через системные приложения. Ограничение частоты — предел попыток, например при вводе кода сопряжения.
Какие версии выпустила Apple?
По данным HDblog, iOS 27.2.1 вышла через две недели после iOS 27.2 и исправляет ошибки и проблемы безопасности. Одновременно выходят iPadOS, macOS Golden Gate, watchOS и visionOS 27.2.1.
Исправления получают и предыдущие системы – 26.7.3 и 18.7.12 для iOS и iPadOS. Для Mac выпущены macOS Tahoe 26.7.3 и macOS Sequoia 15.8.3, а watchOS 26 переходит на 26.6.1.
Мы уже писали о пакете обновлений от 9 ноября. Тем временем продолжается бета-тестирование iOS 27.3, о котором мы рассказывали в связи с первой бетой.
Что можно было сделать через уязвимости в iMessage?
Две уязвимости касаются iMessage. Через CVE-2026-113961 удаленный злоумышленник мог попасть в групповой чат без приглашения и получать сообщения. Через CVE-2026-113960 тот, кого добавляли в группу, мог читать и сообщения, отправленные до его вступления.
Такие сценарии затрагивают конфиденциальность переписки, в том числе рабочей переписки между коллегами и партнерами.
Какие проблемы были в AirPlay и Bluetooth?
По данным MacRumors, большая часть уязвимостей касалась AirPlay и Bluetooth. Вредоносное Bluetooth-устройство могло спариться без участия пользователя. Другой дефект позволял злоумышленнику поблизости повредить память процесса.
Несколько ошибок позволяли обходить ограничение попыток ввода кода сопряжения AirPlay. HDblog также упоминает уязвимость в App Intents, из-за которой приложение могло получить доступ к конфиденциальным данным без необходимых разрешений. Apple приписывает себе четыре уязвимости, то есть они были найдены внутри компании.
При чем здесь eMudhra и macOS?
Как поясняет 9to5Mac, Mozilla сообщила о компрометации закрытых ключей восьми промежуточных центров сертификации индийской компании eMudhra. Apple заблокировала эти сертификаты с 19 октября, а дополнительные защиты добавила 23 октября через автоматические обновления.
Оставались незакрытыми инструменты вроде curl и git, которые могли принимать эти сертификаты. macOS 27.2.1, 26.7.3 и 15.8.3 закрывают эту брешь и удаляют из /etc/ssl/cert.pem пять корневых сертификатов, в том числе три сертификата eMudhra, не входившие в первоначальное ручное решение.
Приложения, которые ведут собственный список сертификатов, не подчиняются блокировке Apple, и этот вопрос нужно задавать разработчикам.
Ограничения, о которых стоит знать
Apple не сообщила, использовались ли уязвимости в реальных атаках, и на это обращают внимание все источники. Мы не знаем, сколько устройств были действительно уязвимы и есть ли публичные эксплойты. Источники также не объясняют, как именно исправлен каждый дефект. Остается неясным, какие приложения со своими сертификатами получат исправления от разработчиков.
Что меняется для тех, кто работает с цифровыми технологиями
Тем, кто использует iPhone и Mac на работе, обновление стоит установить сразу. На iPhone и iPad откройте «Настройки», «Основные», «Обновление ПО». На Mac откройте «Системные настройки», «Обновление ПО». Если вы управляете парком устройств, проверьте установленные версии, в том числе старые, например iOS 18.7.12.
Разработчики, которые используют curl или git на Mac, например в скриптах сборки, должны обновить macOS или применить ручную процедуру от Apple. Если приложение поставляет собственные корневые сертификаты, уточните это у его автора.
Наше мнение
Исправление правильное, но сам подход вызывает вопросы. Пустые заметки к релизу и детали только потом подталкивают ставить обновления вслепую, тогда как злоумышленники сравнивают патчи за считаные часы. В случае с eMudhra Apple сработала хорошо благодаря автоматическим блокировкам, но понадобились недели, чтобы закрыть инструменты командной строки, которыми пользуются как раз разработчики. Полезный урок для тех, кто занимается серверами и инфраструктурой. Сертификаты образуют цепочку, и достаточно одного незащищенного звена.
Частые вопросы
Добавляет ли iOS 27.2.1 новые функции?
Нет. По данным HDblog, обновление исправляет ошибки и проблемы безопасности, новых возможностей в нем нет. Новые функции появятся в iOS 27.3, которая сейчас находится в бете.
Использовались ли уязвимости в атаках?
Это неизвестно. Apple не заявляла, что уязвимости использовались в реальных атаках. Теперь, когда детали публичны, устройства без обновлений остаются более уязвимыми.
Какие более старые системы получают исправления?
Для iOS и iPadOS это версии 26.7.3 и 18.7.12. Для Mac выпущены macOS Tahoe 26.7.3 и Sequoia 15.8.3, для watchOS вышла 26.6.1.
Что произошло с сертификатами eMudhra?
Скомпрометированы закрытые ключи восьми промежуточных центров сертификации. С их помощью можно было создать поддельные, но внешне действительные сертификаты, чтобы копировать сайты и перехватывать данные.
Как обновить устройство?
На iPhone и iPad зайдите в «Настройки», «Основные», «Обновление ПО». На Mac откройте «Системные настройки» и выберите «Обновление ПО».
Что отслеживать после iOS 27.2.1 – бета iOS 27.3 и приложения со своими сертификатами
Исправления вышли, но история не закрыта. Важны следующие релизы и поведение приложений, которые не следуют блокировке Apple.
- Проверьте, есть ли у используемых вами инструментов собственный список корневых сертификатов, и уточните это у разработчиков.
- Следите за бетами iOS 27.3, чтобы понимать, какие еще исправления появятся.
- Следите за публикациями о публичных эксплойтах для CVE в iMessage, AirPlay и Bluetooth.
