Apple dün yaptığı açıklamada, uzaktan bir saldırganın iMessage grubuna katılıp mesajları alabilmesine yol açan bir açık bulunduğunu belirtti ve sorunu gidermek için güncellemeler yayınladı. Güncellemeler ayrıca gruba sonradan eklenen bir kişinin gruba katılmadan önce gönderilen mesajlara erişebilmesine imkan veren ayrı bir iMessage açığını da kapatıyor.
Bugün itibarıyla dün yayınlanan iPhone XS, XS Max ve XR, 7. nesil iPad ve bazı Apple Watch modelleri için yapılan diğer güncellemelerde bu iki düzeltme listelenmiyor.
Şirketin notlarında bu açıkların istismar edilip edilmediği, saldırganın neye ihtiyacı olduğu, grup üyelerinin bu şekilde katılan birini görebileceği ya da korunmak için her üyenin güncelleme yapıp yapması gerektiği belirtilmiyor.
iMessage açıklarını kapatan güncellemeler Google’ın Brotli sıkıştırma kitaplığındaki bir açığı da düzeltiyor. Notlarda bu açık kullanılarak saldırı yapıldığına dair bir bilgiye yer verilmiyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA bu açığı 27 Ekim’de Bilinen İstismar Edilen Zafiyetler kataloğuna ekledi.
Grup sohbetine uzaktan saldırganın katılmasına izin verebilecek açık CVE-2026-113961 olarak izleniyor. Yetkilendirme sorunu olan bu zafiyet, güncellemelerle geliştirilmiş doğrulama yoluyla gideriliyor. Daha önceki mesajlara erişimle ilgili açık ise CVE-2026-113960.
Hangi Güncellemeler Düzeltmeleri İçeriyor
Her işletim sistemi sürümü kendi güncellemesini aldı. iOS ve iPadOS 27.2.1 için güvenlik danışmanlığı üç açığı da anlatıyor. Güvenlik sürümleri listesi her güncelleme için notlara bağlantı veriyor.
iOS 18.7.12 notları ve watchOS 26.6.1 notları başka güvenlik düzeltmelerini listeliyor ancak iMessage veya Brotli düzeltmelerini içermiyor.
Şirket bu sürümlerdeki cihazların üç açık tarafından etkilenip etkilenmediği konusunda açıklama yapmıyor. Notlar, hemen güncelleme yapamayanlar için geçici bir çözüm de sunmuyor.
Brotli açığı CVE-2026-111497, kitaplığın kod çözücüsünde sınır dışı yazma hatası ve kötü niyetli girdinin belleği bozmasına yol açabiliyor. CISA’nın Brotli kod çözücü açığı için yaptığı katalog girişi etkilenen ürün olarak Google’ın Brotli’sini gösteriyor ve farklı ürünlerin bu bileşeni kullanabileceğini belirtiyor.
Dokuz güncelleme de Bluetooth ve AirPlay açıklarını düzeltiyor. İkisi kötü niyetli bir Bluetooth cihazının ya da Bluetooth menzilindeki bir saldırganın kullanıcı etkileşimi olmadan cihazla eşleşmesine izin verebiliyor. Notlarda eşleşen bir cihazın ardından ne yapabileceği belirtilmiyor.
Diğer ikisi saldırganın eşleme kodu deneme sınırını aşmasına izin verebiliyor; biri Bluetooth menzilinden, diğeri aynı ağdan. Bir diğeri de Bluetooth menzilindeki bir saldırganın işlem belleğini bozmasına yol açabiliyor.
