„Apple“ skubiai taiso senesnius „iPhone“: spraga jau naudota tikslinėse atakose – patikrinkite atnaujinimus

Sekite TechNaujienos Google

„Apple“ išleido papildomų saugumo pataisų senesniems „iPhone“ ir „iPad“, nes anksčiau aptiktas „CoreGraphics“ pažeidžiamumas buvo siejamas su itin sudėtingomis tikslinėmis atakomis. Naujiena svarbi tiems, kurie dar naudojasi senesniu telefonu ir mano, kad saugumo atnaujinimai reikalingi tik naujausiems modeliams. Net jei įrenginys vis dar veikia puikiai, jo atnaujinimų būklę verta patikrinti.

Spalio 26–27 dienų šaltinyje pateikiamos šios incidento detalės. Spalio 27 dieną „BleepingComputer“ priminė, kad spraga CVE-2026-86950 buvo ištaisyta naujesnėse sistemose dar rugsėjį, o dabar pataisos pritaikytos ir daliai ankstesnių „Apple“ įrenginių. Problemą „CoreGraphics“ vaizdų ir grafikos apdorojimo sistemoje aptiko „Meta“ saugumo komanda. „Apple“ pripažino turinti informacijos apie galimą išnaudojimą prieš konkrečius taikinius senesnėse „iOS“ versijose.

Pažeidžiamumas susijęs su netinkamu atminties ribų tikrinimu. Apdorojus specialiai parengtą failą teoriškai galėtų būti vykdomas pašalinis kodas arba pažeisti programos duomenys. Tai nėra įrodymas, kad bet kuris gautas paveikslėlis kelia grėsmę, tačiau parodo, kodėl vaizdų atidarymas taip pat patenka į saugumo programų kūrėjų akiratį.

Mobiliosios įrangos saugumo palaikymas turi kelis lygius. Vienas jų – pagrindinės operacinės sistemos atnaujinimai, kitas – atskirų komponentų, tokių kaip naršyklė ar vaizdų apdorojimo biblioteka, pataisos. Net jei telefonas fiziškai nenusidėvėjęs, programinė įranga gali pasenti. Kai sistema nustoja gauti saugumo pataisas, pažeidžiamumai joje gali išlikti ilgus metus. Todėl prieš perduodant seną telefoną kitam šeimos nariui verta patikrinti ne tik jo baterijos būklę, bet ir tai, ar gamintojas vis dar suteikia svarbiausius saugumo atnaujinimus.

Naujausi straipsniai

4 min. skaitymo • prieš 4 minutės

Didelis bankas perspėja: neduokite savo prisijungimo duomenų DI agentams – galite prarasti paskyros kontrolę

4 min. skaitymo • prieš 24 minutės

Japonijos interneto milžinė ragino klientus išjungti kompiuterius: užpuolikai pareikalavo 50 mln. dolerių

4 min. skaitymo • prieš 44 minutės

Britanijos policijos duomenis saugantys tiekėjai buvo atakuoti ne kartą – auditas atskleidė pavojingą spragą

Visi naujausi straipsniai →

Vadinamoji „zero-day“ spraga reiškia, kad pažeidžiamumas buvo panaudotas arba viešai žinomas, kol tinkama pataisa nebuvo prieinama visiems naudotojams. Tačiau tai nėra vienodas scenarijus visoms operacinėms sistemoms. Vienos spragos pasiekiamos per naršyklę, kitos reikalauja tam tikro failo ar papildomų sąlygų. „CoreGraphics“ atveju svarbus specialiai suformuoto turinio apdorojimas. Saugumo pataisa keičia tai, kaip sistema tikrina atminties ribas, todėl įdiegus ją rizika dėl šio konkretaus trūkumo sumažėja. Visų kitų grėsmių vienas atnaujinimas, žinoma, nepašalina.

Senesnių „iPhone“ naudotojai dažnai atideda naują operacinę sistemą, baimindamiesi sulėtėjimo ar pasikeitusio dizaino. Tokia nuostata suprantama, tačiau saugumo rizika nėra susijusi su išvaizdos pageidavimais. Gamintojui išleidus tikslinę pataisą, paprastai verta ją įdiegti net jei naujų funkcijų visai nereikia. Organizacijos, suteikiančios telefonus darbuotojams, gali centralizuotai tikrinti diegimo būseną ir laiku apriboti seniausias versijas. Taip sumažinama tikimybė, kad vienas neatnaujintas aparatas taps silpnąja prieigos prie įmonės paskyrų vieta.

Kas įvyko ir kokie tikrieji pavojai

Tarp papildomai apsaugotų įrenginių minimi „iPhone XS“, „XS Max“, „XR“ ir kelios senesnės „iPad“ kartos. Kiekvienam modeliui tinkamą pataisą reikia tikrinti oficialiame „Apple“ saugumo pranešime, nes programinės įrangos versijos skiriasi. Įmonės, valdančios darbuotojų įrenginius centralizuotai, turėtų atskirti palaikomus ir jau nebeatnaujinamus aparatus.

„Apple“ neįvardijo, kiek žmonių tapo atakų taikiniais. Taip pat nepaskelbta, kad spraga buvo masiškai naudojama prieš paprastus vartotojus. Todėl tokio pobūdžio žinią verta skaityti be panikos: rizika reali, bet nėra pagrindo teigti, kad visi seni telefonai kompromituoti.

Dar vienas svarbus žingsnis – įsitikinti, kad programinės įrangos naujinys iš tiesų užbaigtas. Kai kurie telefonai atnaujinimą parsiunčia automatiškai, bet diegimą atideda iki nakties ar tol, kol prietaisas prijungiamas prie maitinimo. Todėl vien matomas pranešimas apie naują versiją dar nereiškia, kad pažeidžiamumas užtaisytas. Vartotojai gali patikrinti įdiegtos operacinės sistemos numerį ir palyginti jį su gamintojo saugumo dokumentacija. Jei telefonas naudojamas darbo el. paštui, įmonės dokumentams ar bankininkystei, tokį patikrinimą verta atlikti kuo greičiau. Tuo pat metu rekomenduojama nenaudoti neoficialių konfigūracijos profilių, kuriuos nepažįstami asmenys siūlo kaip tariamas skubias apsaugos priemones.

Ką verta žinoti Lietuvoje

Praktiškai naudotojui reikia atverti nustatymus, pasirinkti bendruosius nustatymus ir programinės įrangos atnaujinimą. Prieš diegiant rekomenduotina turėti atsarginę kopiją ir pakankamai įkrautą bateriją. Jei atnaujinimo nėra, verta patikrinti tikslų modelį bei gamintojo pranešimą, o ne atsisiųsti neoficialius „pataisų paketus“ iš nuorodų socialiniuose tinkluose.

Lietuvoje senesni „iPhone“ dažnai perduodami šeimos nariams arba parduodami antrinėje rinkoje. Tai reiškia, kad aparatas gali keisti savininkus ilgiau, nei žmogus domisi jo saugumo palaikymu. Nauja pataisa yra gera proga ne tik patikrinti vieną spragą, bet ir atnaujinti pagrindinius telefono saugumo nustatymus. Plačiau susijusiu klausimu rašėme anksčiau.