Naglabas ang Apple ng 11 Update sa Seguridad, Pinalawak ang Pag-aayos sa Pinagsasamantalahang Kahinaan para sa Mas Lumang mga iPhone

Nakatanggap ng pag-aayos para sa mga naka-target na pag-atake ang mas lumang mga iPhone

Naglabas ang Apple ng 11 update sa seguridad noong Oktubre 26, 2026, kabilang ang patch para sa pinagsasamantalahang kahinaan sa graphics na nakaaapekto sa iPhone XS, iPhone XS Max, iPhone XR at iPad na ikapitong henerasyon. Tinutugunan din ng mga release ang daan-daang kahinaan sa mas bagong mga iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro headset at Safari.

Ang pinakamahalagang hakbang para sa mga may-ari ng mas lumang mga device na iyon ay ang pag-install ng iOS 18.7.11 at iPadOS 18.7.11. Pareho nitong inaayos ang CVE-2026-86950, isang kahinaan sa CoreGraphics na ayon sa Apple ay maaaring nagamit sa mga lubhang naka-target na pag-atake laban sa mga gumagamit ng bersiyong mas luma sa iOS 27. Maaaring magpatakbo ng code ang umaatake sa apektadong device sa pamamagitan ng pagproseso ng espesyal na ginawang file.

Naayos na ng Apple ang kahinaang iyon sa ilang mas bagong release ng mga operating system noong Setyembre 28. Pinalalawak ng update noong Oktubre ang proteksiyon sa mas lumang hardware sa pamamagitan ng prosesong tinatawag na backporting: pagdadala ng pag-aayos sa seguridad sa mas lumang bersiyon ng software sa halip na hingin ang paglipat sa pinakabagong operating system.

May hiwalay na tugon sa seguridad tungkol sa mga nakompromisong certificate mula sa Indian certificate authority na eMudhra. Awtomatikong hinarang ng Apple ang mga apektadong web certificate sa Safari, Mail at mga application na gumagamit ng mga networking at security framework nito. Kailangan pa ring bigyang-pansin ang ilang command-line tool ng Mac dahil ibang file ang ginagamit ng mga ito upang magpasya kung aling mga certificate ang pagkakatiwalaan.

Mga inilabas ng Apple at kabuuan ng mga bilang

Ayon sa listahan ng mga release sa seguridad ng Apple, inilabas ang lahat ng 11 update noong Oktubre 26. Saklaw ng mga update ang tatlong henerasyon ng software para sa iPhone at iPad, tatlong operating system ng Mac, dalawang sangay ng software para sa Apple TV, watchOS, visionOS at Safari.

Ang mga inilathalang bilang ng kahinaan ay:

• iOS 27.2 at iPadOS 27.2: 163.
• iOS 26.7.2 at iPadOS 26.7.2: 134.
• iOS 18.7.11 at iPadOS 18.7.11: tatlo.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: walang inilathalang CVE entry.

Umabot sa 1,265 ang kabuuang tala ng mga kahinaan sa mga release, na kumakatawan sa hindi bababa sa 329 magkakaibang kahinaan. Maaaring lumitaw ang isang kahinaan sa ilang update dahil iisa ang ilang bahagi ng software na ginagamit ng mga produkto ng Apple. Kung iOS at macOS 27.2 lamang ang bibilangin, 286 ang magkakaibang kahinaan: 163 at 263, na may tinatayang 140 na magkakapareho sa dalawa.

Bakit mahalaga ang pag-aayos sa CoreGraphics

Pinangangasiwaan ng CoreGraphics ang mga gawain gaya ng pagguhit ng teksto at pagpapakita ng mga larawan. Ang CVE-2026-86950 ay isang kahinaang out-of-bounds write, ibig sabihin, maaaring magsulat ang software ng impormasyon lampas sa bahaging inilaan para rito sa memorya. Maaaring samantalahin ng umaatake ang problemang ito upang gambalain ang isang programa o patakbuhin dito ang mga instruksiyong pinili ng umaatake.

Natuklasan ng Meta Product Security ang kahinaan. Ganito inilarawan ng Apple, ang kumpanyang responsable sa mga apektadong operating system, ang babala tungkol sa pagsasamantala rito sa abiso nito sa seguridad:

Alam ng Apple ang ulat na maaaring nagamit ang isyung ito sa isang napakasopistikadong pag-atake laban sa mga partikular na naka-target na indibidwal na gumagamit ng mga bersiyon ng iOS na mas luma sa iOS 27.

Inilarawan din ng Apple ang teknikal na epekto at pag-aayos:

Maaaring magresulta sa arbitraryong pagpapatakbo ng code ang pagproseso ng malisyosong ginawang file. Inayos ang isyu ng out-of-bounds write sa pamamagitan ng mas mahigpit na pagsusuri sa mga hangganan.

Ang pagsusuri sa mga hangganan ay nangangahulugan ng pagtiyak na nananatili ang isang programa sa espasyo ng memoryang inilaan dito. Tinawag na zero-day ang kahinaan dahil nagamit na ito ng mga umaatake bago pa magkaroon ng pag-aayos. Iniulat ng Apple na wala itong alam na iba pang pagsasamantala sa mga kahinaang saklaw ng mga release noong Oktubre.

Inilabas ang pag-aayos sa magkakaibang sangay ng software sa loob ng ilang linggo:

• Setyembre 28: Naglabas ang Apple ng mga pag-aayos sa iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 at macOS Sequoia 15.8.1.
• Setyembre 29: Idinagdag ng mga awtoridad ng U.S. ang CVE-2026-86950 sa katalogo ng mga kilalang pinagsasamantalahang kahinaan.
• Oktubre 26: Dinala ng iOS 18.7.11 at iPadOS 18.7.11 ang pag-aayos sa mas lumang mga device na tinukoy ng Apple.

May 28 araw sa pagitan ng mga petsa ng release noong Setyembre at Oktubre. Para sa mga may-ari ng iPhone XS, XS Max, XR o iPad na ikapitong henerasyon, ang praktikal na hakbang ay i-install ang update na iniaalok para sa device. Hindi pa ibinubunyag ng Apple sa publiko kung sino ang mga tinarget o kung paano nakarating sa kanila ang mga malisyosong file.

Tatlong pag-aayos para sa mas lumang mga device

May tatlong nakalistang pag-aayos sa iOS 18.7.11 at iPadOS 18.7.11, kabilang ang pag-aayos sa CoreGraphics. Tinutugunan ng dalawa pa ang paglalantad ng sensitibong datos at pag-access sa camera nang walang pahintulot.

Ang CVE-2026-65339 ay nakaaapekto sa Audio framework at maaaring maglantad ng sensitibong impormasyon ng user. Ang CVE-2026-86990 ay nakaaapekto sa CoreMedia at maaaring magbigay-daan sa isang malisyosong application na gamitin ang camera nang walang pahintulot ng user. Bahagi ang CoreMedia ng software na ginagamit ng Apple upang pamahalaan ang audio at video.

Inililista ng Apple ang iPhone XS, iPhone XS Max, iPhone XR at iPad na ikapitong henerasyon bilang mga kwalipikadong device para sa mga release na ito. 22H384 ang build number. Nagbibigay ang pagkakakilanlang ito ng isa pang paraan para masuri ng mga user at administrator kung aling rebisyon ng software ang naka-install.

Ipinakikita ng tatlong pag-aayos kung bakit dapat agad bigyang-pansin ang isang maliit na update. Para sa mga device na ito, pinagsasama ng release ang pag-aayos sa pinagsamantalahang kahinaan at mga pagbabagong nagpoprotekta sa pribadong impormasyon at pag-access sa camera. Hindi kailangang maglaman ang isang update ng daan-daang nakalistang pag-aayos upang matugunan ang malulubhang panganib.

Mas malawak na pag-aayos para sa mas bagong mga iPhone at iPad

Inilalarawan ng abiso sa seguridad para sa iOS ng Apple ang mga pag-aayos sa mga bahagi ng iOS 27.2 at iPadOS 27.2, kabilang ang CoreGraphics, CoreMedia, ImageIO at kernel. Ang kernel ang pangunahing bahagi ng operating system na namamahala sa hardware, memorya at pag-access sa pagitan ng mga programa.

Kabilang sa 163 kahinaan ang mga problema sa WebKit, ang web rendering engine ng Apple, at sa mga bahaging nagpoproseso ng mga larawan, font, PDF document, audio at video. Maaaring magbigay-daan ang ilan sa pagpapatakbo ng code kapag nagproseso ang device ng malisyosong content. Maaari namang magbigay-daan ang iba sa mga application na kumuha ng sensitibong datos o lumusot sa mga setting ng privacy.

Inaayos din ng mga release ang CVE-2026-86987, isang kahinaan sa Apple Intelligence na maaaring magbigay-daan sa malayuang umaatake na makakuha ng sensitibong impormasyon sa mga sinusuportahang iPhone at iPad. Tinutugunan din ng iba pang pag-aayos ang paglabas mula sa WebContent sandbox, isang limitadong kapaligirang nilalayong ilayo ang web content sa iba pang bahagi ng sistema.

Kabilang sa mga karagdagang pag-aayos ang panggagaya sa isang Kerberos authentication server at pag-access ng malapitang umaatake sa isang Thread network. Tumutulong ang Kerberos sa mga sistema na beripikahin ang mga pagkakakilanlan, habang pinag-uugnay naman ng Thread ang mga katugmang device, kabilang ang mga smart home device.

Sinusuportahan ng iOS 27.2 ang iPhone 11 at mga mas bagong modelo. Sinusuportahan ng iPadOS 27.2 ang iPad Pro na 12.9 pulgada na ikaapat na henerasyon, iPad Pro na 11 pulgada na ikalawang henerasyon, iPad Air na ikaapat na henerasyon, iPad na ikasiyam na henerasyon at iPad mini na ikaanim na henerasyon, pati ang mga mas bagong modelo sa mga linyang ito. Saklaw din ng sangay na 26.7.2 ang ilang mas lumang iPad, kabilang ang iPad na ikawalong henerasyon, iPad Air na ikatlong henerasyon at iPad mini na ikalimang henerasyon.

Umaabot ang mga pag-aayos sa Mac sa malayuang pag-access at mga kontrol ng sistema

Pinakamalaki ang bilang ng mga indibidwal na kahinaan sa macOS Golden Gate 27.2, na may 263. Kabilang sa mga pag-aayos nito ang mahigit isang dosenang kahinaan na maaaring magbigay-daan sa mga application na makakuha ng root access, ang pinakamataas na antas ng kontrol sa isang Mac.

Inayos din ng Apple ang mga paglusot mula sa sandbox, pag-iwas sa Gatekeeper at mga problema sa pagkasira ng memorya sa mga bahaging nangangasiwa sa mga file system at disk image. Sinusuri ng Gatekeeper ang na-download na software bago ito patakbuhin upang matulungan ang mga user na makaiwas sa mga hindi pinagkakatiwalaang application.

Nakatanggap din ng mga pag-aayos ang Screen Sharing, Remote Management at SMB, isang protocol para sa pagbabahagi ng mga file sa network. Maaaring atakihin nang malayuan o mula sa lokal na network ang ilang kahinaan. Maaaring magbigay-daan sa malayuang umaatake na magpatakbo ng code ang isang kahinaan sa Remote Management, kaya partikular na mahalaga ang update sa mga organisasyong namamahala ng mga Mac sa pamamagitan ng network.

Tinutugunan ng macOS Tahoe 26.7.2 ang 213 kahinaan, samantalang 197 naman ang tinutugunan ng macOS Sequoia 15.8.2. Kabilang sa release ng Tahoe ang CVE-2026-43736, isang kahinaan sa Siri na maaaring magbigay-daan sa isang application na makakuha ng sensitibong impormasyon ng user.

Hiwalay na makukuha ang Safari 27.2 para sa macOS Sequoia at macOS Tahoe at tinutugunan nito ang 33 kahinaan. Nagbibigay ito ng update sa browser sa mga gumagamit pa rin ng mga operating system na ito ng Mac, kasabay ng mga kaugnay na pag-aayos sa sistema.

Saklaw din ang mga relo, telebisyon at headset

Hindi lamang mga telepono at computer ang saklaw ng mga release ng Apple noong Oktubre. Inaayos ng watchOS 27.2 ang 62 kahinaan at sinusuportahan nito ang Apple Watch Series 9 at mga mas bagong modelo. Inaayos naman ng visionOS 27.2 ang 125 kahinaan at nakalista ito para sa lahat ng modelo ng Apple Vision Pro.

Tinutugunan ng tvOS 27.2 ang 72 kahinaan para sa Apple TV 4K na ikalawang henerasyon at mga mas bagong modelo. Sa halip, tvOS 26.6.1 ang matatanggap ng Apple TV HD at Apple TV 4K na unang henerasyon; walang inilathalang CVE entry para rito ayon sa Apple.

Mga pampublikong pagkakakilanlan ang CVE number na ginagamit upang subaybayan ang mga kahinaan sa seguridad. Hiwalay na inililista ng Apple ang pagiging tugma sa hardware at ang mga pagkakakilanlang ito, kaya mahalagang tingnan ang eksaktong modelo ng device upang matukoy kung aling release ang naaangkop. Sa isang tahanan o lugar ng trabaho, mananatili sa kasalukuyang software ang mga relo, telebisyon, headset at computer kung telepono lamang ang ia-update.

Bakit hinarang ng Apple ang mga certificate ng eMudhra

Inilalarawan ng abiso sa seguridad ng Apple tungkol sa eMudhra, na inilathala noong Oktubre 23, ang hiwalay na problemang kinasasangkutan ng mga pribadong key ng walong intermediate certificate authority na pinamamahalaan ng eMudhra. Nag-isyu ang anim ng TLS certificate para sa mga website, habang nag-isyu naman ang dalawa ng mga certificate na ginagamit sa pagpirma ng software.

Parang dokumento ng pagkakakilanlan ang certificate ng website. Pinipirmahan ito ng certificate authority upang masuri ng software kung talagang sa inaasahang website nagmula ang isang koneksiyon. Maaaring gumawa ang sinumang may hawak ng pribadong key ng isang intermediate authority ng mga certificate na mukhang balido para sa iba pang website.

Ginawa ang mga key ng eMudhra nang kulang ang randomness, kaya makukuwenta ang mga ito mula sa mga pampublikong certificate. Sinabi ng security researcher na si Scott Helme na nabawi niya ang lahat ng walo nang wala pang isang segundo. Iniugnay ng eMudhra ang kahinaan sa isang problema sa seremonya ng paggawa ng key noong Abril 30, 2025, at sinabi nitong isa lamang sa mga apektadong intermediate ang naipatupad sa production at wala itong naisyung certificate sa mga end user.

Iniulat ng isang researcher ang problema noong Oktubre 17. Sinimulan ng Apple na harangin ang 12 apektadong TLS certificate noong Oktubre 19, at hinarang din nito ang emSign ECC Root CA - G3 noong Oktubre 23. May 12 TLS certificate dahil may dalawang bersiyon ang bawat isa sa anim na apektadong TLS authority, at kumokonekta ang mga bersiyong ito sa magkakaibang pinagkakatiwalaang root. Binawi ng eMudhra at Sectigo ang mga apektadong certificate.

Nagsagawa rin ng mga hakbang sa pagharang ang Chrome, Firefox at Android, habang naglabas naman ng mga pagbabago ang mga software project at tagapagtustos ng operating system para sa kani-kanilang certificate store. Walang nakumpirmang malisyosong pagsasamantala sa mga key ng eMudhra. Awtomatikong hinaharang ng Apple ang mga certificate sa Safari, Mail at mga application na gumagamit ng mga networking at security framework nito, nang hindi kailangang mag-install ng update sa operating system ang mga user.

Kailangan pa rin ng hiwalay na hakbang para sa ilang Mac tool

Mas limitado ang natitirang problemang kinakaharap ng mga administrator at developer ng Mac. Sinusuri ng ilang tool na kasama sa macOS o Xcode Command Line Tools, kabilang ang curl, git, python3, ruby, perl at openssl, ang mga certificate gamit ang /etc/ssl/cert.pem. Para sa mga certificate chain na pinagkakatiwalaan sa pamamagitan ng file na ito, hindi sinusuri ng mga tool na ito ang pagharang o status ng pagbawi ng certificate ng Apple.

Ayon sa Apple, babaguhin ng susunod na software update ang file, ngunit wala itong ibinigay na petsa ng release. Maaaring sundin ng mga administrator na gustong kumilos agad ang mga tagubilin ng Apple upang gumawa ng backup at alisin ang mga kaugnay na root certificate.

Hinaharang ng pag-alis sa emSign ECC Root CA - G3 ang isang landas ng pagtitiwala. Ipinaliliwanag sa abiso ng Apple na maaari pa ring tanggapin ang mga cross-signed certificate ng Sectigo sa pamamagitan ng AAA Certificate Services, kaya maaari ring piliin ng mga administrator na alisin ang root na iyon. Naaapektuhan ng pag-alis sa mga root ang lahat ng tool na umaasa sa file at maaari nitong maputol ang mga koneksiyon sa mga lehitimong website na gumagamit ng iba pang certificate na nasa ilalim ng mga root na iyon.

Maaaring palitan ng susunod na update sa macOS ang /etc/ssl/cert.pem, kaya kailangang suriin ng mga administrator na gumagamit ng pansamantalang hakbang ang file pagkatapos ng mga update hanggang mailabas ang permanenteng pagbabago ng Apple. Kailangan ding hiwalay na tugunan ng mga developer ang mga application na may sarili nilang listahan ng certificate.

Hindi kailangang baguhin ng karamihan sa mga may-ari ng Apple device ang mga certificate file. Ang agarang dapat nilang gawin ay i-install ang naaangkop na mga update sa seguridad, habang dapat ding suriin ng mga organisasyon ang mga serbisyo sa remote management, tool ng developer at mga application na may sarili nilang listahan ng pinagkakatiwalaan. Nagpasalamat ang Apple sa mga AI tool at research team sa pagtuklas ng ilang kahinaan sa mas malawak na mga release, na nagpapakita kung paanong natutuklasan ng pagsusuri sa seguridad ang mga problema sa maraming magkakaparehong bahagi nang sabay-sabay.

Mahahalagang Punto

• Naglabas ang Apple ng 11 update sa seguridad noong Oktubre 26, 2026, para sa mga pangunahing operating system nito at Safari.
• Dinala ng iOS 18.7.11 at iPadOS 18.7.11 ang pag-aayos sa pinagsasamantalahang kahinaan sa CoreGraphics para sa iPhone XS, XS Max, XR at iPad na ikapitong henerasyon.
• May 1,265 tala ng kahinaan ang mga release, na kumakatawan sa hindi bababa sa 329 magkakaibang kahinaan sa mga magkakaparehong bahagi ng software.
• Kabilang sa mga pag-aayos para sa Mac ang mga kahinaan sa malayuang pag-access, habang pinoprotektahan naman ng iba pang pag-aayos ang sensitibong datos at mga pahintulot sa camera.
• Awtomatikong hinaharang ng Apple ang mga nakompromisong web certificate ng eMudhra sa Safari, Mail at mga application na gumagamit ng mga security framework nito.
• Kailangan ng update sa hinaharap para sa certificate file o opsyonal na pansamantalang hakbang ng administrator para sa ilang Mac command-line tool.