Een bluetooth-kwetsbaarheid in iOS en macOS maakt het mogelijk voor remote aanvallers om willekeurige code op iPhones, iPads en Macs uit te voeren. Apple heeft beveiligingsupdates uitgebracht om het probleem te verhelpen. Met de lancering van iOS en iPadOS 27 verhelpt Apple in totaal 127 kwetsbaarheden. In het geval van iOS en iPadOS 26.7 gaat het om 82 beveiligingslekken. Daarnaast zijn er nieuwe versies van macOS verschenen.

Twee van de verholpen kwetsbaarheden maken het uitvoeren van code mogelijk. Het gaat als eerste om CVE-2026-65414, aanwezig in het bluetooth-onderdeel van iOS, iPadOS en macOS. Via dit lek kan een remote aanvaller een app laten crashen of willekeurige code uitvoeren. Het andere probleem bevindt zich in de AVEVideoEncoder en maakt het mogelijk voor een gesandboxte app om willekeurige code met kernelrechten uit te voeren. Apple geeft geen verdere details over de problemen.

Daarnaast zijn er meerdere kwetsbaarheden gepatcht die het mogelijk maken om de GateKeeper-beveiliging te omzeilen, zonder toestemming toegang tot bewegingsdata van de koptelefoon te krijgen, persistent device identifiers uit te lezen, het toestel te fingerprinten, toegang tot gevoelige gebruikersgegevens te krijgen en gebruikers zonder toestemming tussen apps en websites te volgen.

Verder zorgt een kwetsbaarheid in Siri Suggestions (CVE-2026-86890) ervoor dat een aanvaller met fysieke toegang tot een vergrendelde iPhone of iPad gevoelige gebruikersinformatie kan bekijken. Wat deze informatie precies is en hoe aanvallers hier misbruik van kunnen maken laat Apple niet weten. Apple maakt geen melding van aangevallen kwetsbaarheden. MacOS-gebruikers kunnen updaten naar macOS Sequoia 15.8, macOS Tahoe 26.7 of macOS Golden Gate 27.