Zneužívaná chyba v Apple CoreGraphics: škodlivý soubor může spustit kód na iPho…

Co se stalo

Apple opravil závažnou chybu v komponentě CoreGraphics, která v iPhonech, iPadech a Macích vykresluje grafiku a zpracovává obrázky či dokumenty PDF. Chyba nese označení CVE-2026-86950 a umožňuje, aby speciálně upravený soubor spustil v zařízení cizí kód. Nahlásil ji bezpečnostní tým společnosti Meta (Meta Product Security).

První opravy vydal Apple 28. září 2026 ve verzích iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1. Pro starší iPhony a iPady přidal opravu až 26. října 2026, ve verzích iOS 18.7.11 a iPadOS 18.7.11.

Chybu útočníci podle všeho už zneužili. Apple uvádí, že ví o hlášení, podle kterého mohla být použita při mimořádně sofistikovaném útoku na konkrétní, cíleně vybrané lidi se systémem starším než iOS 27. Americká agentura CISA ji 29. září 2026 zařadila do katalogu aktivně zneužívaných zranitelností a evropská agentura ENISA ji eviduje pod označením EUVD-2026-88445.

Proč je to nebezpečné

Jde o chybu typu zápis mimo hranice paměti (out-of-bounds write). Představte si formulář, ve kterém má každé políčko pevnou délku. Pokud program neověří, zda se text do políčka vejde, přepíše i sousední políčka. Kdo přesně ví, co a kam napsat, může tak programu podstrčit vlastní pokyny. V tomto případě stačí, aby zařízení zpracovalo záludně připravený soubor.

Útočník nepotřebuje heslo ani fyzický přístup k zařízení. Soubor může poslat přes internet, třeba e-mailem, ve zprávě nebo přes webovou stránku. Podle hodnocení závažnosti musí uživatel něco udělat, typicky soubor otevřít nebo si ho zobrazit. Pokud útok uspěje, útočník spustí v zařízení vlastní kód. Co přesně pak může udělat, Apple neupřesňuje.

CVSS 8,8 z 10 (CVSS 3.1, hodnocení CISA v databázi NVD): vysoká závažnost. CVSS je standardní stupnice od 0 do 10, která hodnotí, jak vážná je chyba a jak snadno se dá zneužít.
CISA KEV: katalog americké agentury CISA, do kterého se dostanou jen chyby s doloženým skutečným zneužíváním. Federální úřady v USA musely tuto chybu opravit do 13. října 2026.
EPSS 26 % (k 28. říjnu 2026): odhad pravděpodobnosti, že chybu někdo zneužije v příštích 30 dnech. Chyba tak patří mezi zhruba 2 % nejrizikovějších známých zranitelností.

Podle Apple mohla být chyba zneužita při cíleném útoku na konkrétní lidi, nikoli při hromadném útoku. Po zveřejnění opravy ale chybu mohou zkoumat i další útočníci, proto se vyplatí aktualizovat všechna zařízení, nejen ta „důležitá“.

Koho se to týká

Chyba se týká iPhonů, iPadů a Maců, které ještě nemají opravenou verzi systému:

iOS a iPadOS 18 ve verzi nižší než 18.7.11. Opravu 18.7.11 Apple vydal pro iPhone XS, iPhone XS Max, iPhone XR, iPad 7. generace, iPad Air 4. generace a novější, iPad 9. generace a novější a iPad mini 6. generace a novější.
iOS a iPadOS 26 ve verzi nižší než 26.7.1. Oprava je pro iPhone 11 a novější, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 8. generace a novější a iPad mini 5. generace a novější.
macOS Tahoe ve verzi nižší než 26.7.1.
macOS Sequoia ve verzi nižší než 15.8.1.

V menších firmách jde typicky o služební telefony a notebooky vedení, obchodníků nebo účetních, ale i o soukromá zařízení, na kterých zaměstnanci čtou firemní poštu. Apple neuvádí, kdo se stal obětí útoků. Hlášené zneužití se týká verzí iOS starších než iOS 27. Z počítačů Mac uvádí Apple v bezpečnostních poznámkách k této chybě jen macOS Tahoe a macOS Sequoia.

Jak zjistit, zda jste zasaženi

Na iPhonu a iPadu otevřete Nastavení > Obecné > Informace a podívejte se na položku s verzí iOS nebo iPadOS. Na Macu klikněte na menu Apple > O tomto Macu. Verzi macOS zjistíte i v Terminálu příkazem, který nic nemění, jen ji vypíše:

sw_vers

Hledejte řádek ProductVersion, například 15.8.1. Pokud firma spravuje zařízení přes MDM (třeba Microsoft Intune nebo Jamf), verze všech zařízení najdete v přehledu inventáře. Zařízení je v pořádku, pokud má opravenou verzi pro svou větev systému nebo novější.

Jak to opravit

Opravené verze jsou iOS a iPadOS 18.7.11, iOS a iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1, případně novější. Dočasné řešení Apple neuvádí, jedinou ochranou je aktualizace. Doporučený postup:

Nejdřív aktualizujte zařízení lidí, kteří jsou nejlákavějším cílem: vedení, lidí s přístupem k financím, citlivým datům nebo správcovským účtům a těch, kdo často cestují.
iPhone a iPad: Nastavení > Obecné > Aktualizace softwaru, pak Stáhnout a instalovat. Zařízení mějte na nabíječce a na Wi-Fi.
Mac: Nastavení systému > Obecné > Aktualizace softwaru. Před instalací si ověřte, že máte aktuální zálohu, třeba přes Time Machine.
Ve firemním MDM nastavte povinnou aktualizaci s krátkým termínem a sledujte, která zařízení ji ještě nemají.
Po aktualizaci zkontrolujte verzi podle předchozí části.

Zařízení, která podporují iOS 27, můžete aktualizovat i na nejnovější verzi iOS 27. Hlášené zneužití se podle Apple týká verzí před iOS 27. Zařízení, pro která už Apple aktualizace nevydává, by neměla pracovat s firemními daty.

Co když už jste mohli být napadeni

Apple ani CISA nezveřejnily konkrétní indikátory napadení, jako jsou názvy souborů nebo adresy serverů. Útok, při kterém mohla být chyba zneužita, popisuje Apple jako mimořádně sofistikovaný a cílený. Takový útok se běžnými prostředky odhaluje těžko. Přesto se vyplatí zkontrolovat:

Zda někdo ve firmě nedostal od Apple oznámení o hrozbě (threat notification). Chodí e-mailem a zobrazí se i přímo v iPhonu a po přihlášení na account.apple.com.
Zda v části Nastavení > Obecné > VPN a správa zařízení nejsou neznámé profily.
Seznam přihlášených zařízení v nastavení účtu Apple. Ta, která neznáte, odeberte.
Na Macu část Nastavení systému > Obecné > Aktivace položek a rozšíření při přihlášení a také neznámé aplikace.
Neobvyklé chování, například rychlé vybíjení baterie, přehřívání nebo nečekané restarty. Samo o sobě ale nic nedokazuje.

Odborníka přizvěte, pokud jde o zařízení člověka na citlivé pozici, pokud přišlo oznámení o hrozbě od Apple nebo máte jiný důvod k podezření. Zařízení do té doby nemažte ani neobnovujte, aby se neztratily stopy. Hesla k firemním účtům změňte z jiného, důvěryhodného zařízení.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Zneužívaná chyba v Apple CoreGraphics: škodlivý soubor může spustit kód na iPhonu, iPadu i Macu