Apple, iOS 26, iPadOS 26 ve macOS 26 işletim sistemlerindeki güvenlik açığını kapattı; şirket açığın “sömürülmüş olabileceğini” söylüyor. Teknoloji devi, artık giderilen hatanın iOS 27 öncesindeki sürümlerde belirli hedef kullanıcılara yönelik son derece sofistike bir saldırının başlatılmasına olanak sağlayabileceğini belirtti.
Apple’ın güvenlik sayfalarındaki listeye göre hata, iPhone, iPad ve Mac’lerde kullanıcı arayüzü ve görselleri çalıştıran ana grafik motorunda bulundu.
Keşif için Meta’nın ürün güvenliği ekibi teşekkür aldı.
Resmi olarak CVE-2026-86950 olarak sınıflandırılan hatanın detayları açıklanmadı, ancak bir cihazın grafik motorunun genellikle cihazın geri kalan işletim sistemine geniş erişimi olur. Başarılı bir istismar, saldırganın etkilenen cihazdan geniş bir kişisel veri yelpazesi çalmasına olanak tanıyabilir.
TechCrunch’a ulaşılan Apple ve Meta sözcüleri, hatanın nasıl keşfedildiği veya bu güvenlik açığı nedeniyle herhangi bir kullanıcının cihazının hacklenip hacklenmediği konusunda yorum yapmadı. Açığı kimlerin sömürüyor olabileceği de belirsiz; devlet casus yazılımı üreticileri ya da siber suçlular olabilir.
Hata Apple’ın bir önceki nesil işletim sistemlerini etkiliyor olsa da kullanım yaygın. Şirketin kendi istatistiklerine göre Apple iPhone kullanıcılarının neredeyse dörtte üçü hâlâ iOS 26 kullanıyor. Bu ayın başında yayınlanan iOS 27, iPadOS 27 ve macOS 27’yi çalıştıran cihazlar da salı günü bir yazılım güncellemesi aldı ancak saldırıya uğrayan hatadan etkilenmiyor.
Ayrı bir ‘sıfır tık’ açığı da kapatıldı
Güvenlik yaması haberi, Apple’ın etkilenen iPhone, iPad veya Mac’lerden verilerin sessizce çalınmasına izin verebilecek CVE-2026-86869 olarak bilinen başka bir kritik güvenlik hatasını düzeltmesinden kısa süre sonra geldi.
Belçikalı siber güvenlik araştırma firması ironPeak geçen hafta yayımladığı detaylı yazıda, hatanın kötü amaçlı hazırlanmış bir iMessage yoluyla kullanıcının haberi olmadan görünmez şekilde tetiklenebilen “sıfır tık” açığı olduğunu açıkladı. Bu tür açıklar mağdurdan bağlantıya tıklama gibi bir etkileşim gerektirmez ve gözetim satıcıları ile casus yazılım üreticileri tarafından yoğun şekilde aranır.
ironPeak’in yazısına göre hata, Apple’ın kötü amaçlı kodun iMessage’ın kum havuzundan çıkıp kullanıcının cihazına bulaşmasını engellemek için uyguladığı BlastDoor güvenlik özelliğini atlayabiliyor.
Apple hatayı eylül ayında iOS 27, iPadOS 27 ve macOS 27’nin yayınlanmasıyla düzeltti ve keşfi ironPeak’ten Niels Hofmans’a, X’teki bir gönderide bulgularını doğrulayan Meta’daki güvenlik araştırmacılarına birlikte teşekkür etti.
Bu açığın düzeltilmeden önce siber saldırılarda kullanılıp kullanılmadığı henüz bilinmiyor.
