Apple heeft beveiligingsupdates voor iOS, iPadOS en macOS uitgebracht die meerdere kwetsbaarheden verhelpen waardoor aanvallers kwetsbare iPhones en Macs kunnen overnemen, waarbij alleen het verwerken van een malafide afbeelding of webcontent voldoende is. Daarnaast heeft Apple een actief aangevallen beveiligingslek, dat eind september al in iOS en iPadOS 26 werd gepatcht, nu ook in iOS en iPadOS 18 verholpen.

IOS en iPadOS 26.7.2 bevatten updates voor in totaal 134 kwetsbaarheden. Acht daarvan maken 'arbitrary code execution' mogelijk. Het gaat om problemen in ImageIO en Apples browser-engine WebKit. De kwetsbaarheid in ImageIO, een onderdeel van iOS, iPadOS en macOS dat allerlei soorten bestandsformaten verwerkt, maakt een aanval via een speciaal geprepareerde afbeelding mogelijk. Kwetsbaarheden in ImageIO zijn in het verleden bij spyware-aanvallen ingezet.

In het geval van de zeven WebKit-lekken volstaat het verwerken van 'malafide webcontent' om een aanvaller code te laten uitvoeren. Alleen het bezoeken van een gehackte of malafide website met een kwetsbare iPhone of iPad is dan al voldoende om te worden aangevallen. Met de release van iOS en iPadOS 27.2 zijn er negen kwetsbaarheden gepatcht die tot arbitrary code execution kunnen leiden. Naast de problemen die ook in de iOS en iPadOS 26.7.2 zijn gedicht gaat het ook om een beveiligingslek in CoreMedia.

Eind september kwam Apple met een beveiligingsupdate voor een 'out-of-bounds write' beveiligingslek in het onderdeel CoreGraphics (CVE-2026-86950). Via het lek kan een aanvaller door middel van een speciaal geprepareerd bestand code op kwetsbare iPhones en Macs uitvoeren. Apple zegt dat de kwetsbaarheid bij 'zeer geraffineerde aanvallen' tegen specifieke iPhone-gebruikers is ingezet. Het ging daarbij om iPhones met iOS-versies voor iOS 27. De kwetsbaarheid werd gepatcht in iOS en iPadOS 26.7.1, maar voor iOS en iPadOS 18.x verscheen geen update. Die is nu vier weken later wel verschenen, in de vorm van iOS en iPadOS 18.7.11.

Verder zijn er ook beveiligingsupdates voor macOS verschenen, die net als met de iOS-versies ook kwetsbaarheden verhelpen die een aanvaller code laat uitvoeren. In het geval van macOS Sequoia 15.8.2 en macOS Tahoe 26.7.2 zijn twee van dergelijke problemen opgelost, die aanwezig waren in Grapher en CoreMedia en via speciaal geprepareerde bestanden zijn te misbruiken. Met macOS Golden Gate 27.2 behoren elf code execution-lekken tot het verleden, onder andere aanwezig in WebKit, CoreMedia, GPUTools en Remote Management. Gebruikers worden opgeroepen de updates zo snel mogelijk te installeren.