Jeden nowy system Apple, aż 122 dziury. Wszyscy mamy przerąbane

Premiera nowej wersji iOS zwykle kojarzy się z nowymi funkcjami, odświeżonym interfejsem i zmianami, które Apple pokazuje na scenie podczas prezentacji. Tymczasem najważniejsze nowości często kryją się znacznie głębiej. Tak głęboko, że większość użytkowników nigdy ich nie zobaczy.

Apple ujawnił, że najnowsza wersja systemu dla iPhone'ów usuwa aż 122 podatności bezpieczeństwa. To liczba, która nawet na tle ostatnich, coraz obszerniejszych aktualizacji zabezpieczeń robi wrażenie. Nie mówimy wyłącznie o błędach teoretycznych czy problemach o marginalnym znaczeniu. Wśród załatanych luk znalazły się podatności pozwalające na uzyskanie uprawnień roota, modyfikowanie pamięci jądra systemu czy przechwytywanie ruchu sieciowego użytkownika.

Czytaj też:

Według opublikowanego przez Apple biuletynu bezpieczeństwa poprawki obejmują praktycznie wszystkie kluczowe elementy systemu. Na liście znajdują się błędy w jądrze systemowym, WebKicie, Safari, Siri, systemie plików APFS, mechanizmach prywatności, uwierzytelniania oraz licznych frameworkach wykorzystywanych przez aplikacje.

Sama liczba 122 nie mówi jednak wszystkiego. Znacznie ciekawsze jest to jakiego rodzaju problemy udało się usunąć. Wśród podatności znalazły się bowiem takie, które potencjalnie mogły umożliwić złośliwej aplikacji przejęcie kontroli nad urządzeniem na poziomie znacznie wyższym niż zwykły proces aplikacyjny.

Innymi słowy: nie są to poprawki typu „aplikacja mogła się nieoczekiwanie zamknąć”. Mówimy o błędach, które w odpowiednich okolicznościach mogłyby zostać wykorzystane jako element pełnoprawnego łańcucha ataku.

Jedną z najpoważniejszych podatności opisanych przez Apple jest CVE-2026-43689 występująca w jądrze systemu. Producent informuje, że złośliwa aplikacja mogła wykorzystać błąd do uzyskania uprawnień roota.

Dla przeciętnego użytkownika słowo „root” może brzmieć obco, ale jego znaczenie jest bardzo proste. To najwyższy możliwy poziom uprawnień w systemie operacyjnym. Kto go posiada, ten może praktycznie wszystko: uzyskiwać dostęp do danych, ingerować w działanie systemu, omijać ograniczenia czy instalować dodatkowe komponenty.

Oczywiście sama obecność pojedynczej luki nie oznacza automatycznie, że każdy iPhone był narażony na przejęcie. W praktyce cyberprzestępcy często muszą łączyć kilka podatności w jeden ciąg ataku. Jednak właśnie takie błędy stanowią najbardziej wartościowe elementy całej układanki.

Kolejna interesująca pozycja na liście to CVE-2026-84523 związana z APFS, autorskim systemem plików Apple'a. Producent przyznaje, że podatność mogła pozwolić aplikacji na nieoczekiwane zakończenie działania systemu lub zapis do pamięci jądra. Problem został usunięty poprzez poprawione sprawdzanie granic pamięci.

Tego typu błędy często wyglądają niewinnie w oficjalnych opisach. Kilka technicznych zdań o „out-of-bounds write” nie brzmi szczególnie dramatycznie. Tymczasem właśnie błędy pamięci od dekad należą do najgroźniejszych. Umożliwiają bowiem wykonywanie działań, których program nigdy nie powinien móc wykonać. W uproszczeniu: kiedy aplikacja zaczyna zapisywać dane tam, gdzie nie powinna, to otwiera się pole do dużo poważniejszych konsekwencji.

Nie mniej interesująca okazuje się podatność oznaczona jako CVE-2026-65329 w module Telephony. Apple informuje, że atakujący znajdujący się w uprzywilejowanej pozycji w sieci mógł potencjalnie ominąć uwierzytelnianie IPSec i przechwytywać ruch sieciowy użytkownika.

Nie jest to scenariusz, który łatwo zrealizować przypadkowemu cyberprzestępcy siedzącemu na drugim końcu świata. Wymaga on określonej pozycji w infrastrukturze sieciowej. Ale właśnie takie podatności szczególnie interesują bardziej zaawansowanych hakerów, ponieważ mogą prowadzić do podsłuchiwania komunikacji lub analizy aktywności użytkownika.

Przeglądając pełną listę zmian można zauważyć jeden motyw przewodni. Ogromna część poprawek dotyczy ochrony prywatności. Apple usunął między innymi błędy pozwalające aplikacjom identyfikować inne zainstalowane programy, uzyskiwać dostęp do wrażliwych danych użytkownika czy omijać niektóre ustawienia prywatności.

To o tyle istotne, że współczesne systemy mobilne w dużej mierze opierają się właśnie na izolacji aplikacji. Program powinien wiedzieć jak najmniej o innych programach i mieć dostęp wyłącznie do tych danych, które są mu absolutnie niezbędne. Każda luka pozwalająca obejść te ograniczenia obniża skuteczność całego modelu bezpieczeństwa.

Na liście znalazł się też błąd w aplikacji Skróty. Według opisu Apple'a złośliwy skrót mógł wysyłać wiadomości bez wymaganej zgody użytkownika. Brzmi niepozornie, ale pokazuje pewne zjawisko, które obserwujemy od kilku lat.

Dzisiejsze telefony są tak rozbudowanymi platformami programistycznymi, że potencjalne podatności mogą pojawić się dosłownie wszędzie. Już nie tylko w przeglądarce czy jądrze systemu, lecz także w narzędziach automatyzacji, funkcjach AI czy komponentach odpowiedzialnych za produktywność.

W dokumentacji Apple pojawia się jeszcze jeden interesujący szczegół. Przy części odkrytych podatności firma wymienia wsparcie ze strony OpenAI, Anthropic, Claude’a oraz zespołów korzystających z nowoczesnych narzędzi AI do wyszukiwania błędów.

Jeszcze kilka lat temu wykrywanie podatności było przede wszystkim ręczną pracą wyspecjalizowanych badaczy bezpieczeństwa. Dziś coraz większą rolę odgrywają modele AI zdolne analizować gigantyczne fragmenty kodu i wychwytywać nietypowe zależności. Jak zauważają komentatorzy branży, obserwujemy swoisty wyścig zbrojeń: cyberprzestępcy wykorzystują narzędzia AI do szukania nowych luk, a producenci oprogramowania i badacze bezpieczeństwa używają tych samych technologii do ich wykrywania i łatania.

Paradoksalnie właśnie dlatego liczba poprawek w kolejnych aktualizacjach może dalej rosnąć. Niekoniecznie dlatego, że oprogramowanie staje się mniej bezpieczne. Częściowo dlatego, że jesteśmy po prostu coraz skuteczniejsi w znajdowaniu błędów.

W przypadku iOS 27 lista zmian bezpieczeństwa jest jednak tak długa, że trudno znaleźć argument za dłuższym zwlekaniem. 122 usunięte podatności to bardzo konkretny pakiet zabezpieczeń obejmujący jądro systemu, mechanizmy prywatności, sieć, przeglądarkę i szereg innych elementów krytycznych dla bezpieczeństwa urządzenia.

Nowe funkcje i odświeżony interfejs mogą przyciągać uwagę podczas premiery. Ale prawdziwa wartość tej aktualizacji prawdopodobnie kryje się właśnie w tych 122 pozycjach, których większość użytkowników nigdy nie zobaczy na własne oczy. I bardzo dobrze. W świecie bezpieczeństwa najlepsze błędy to te, o których nigdy nie musimy usłyszeć po raz drugi.

*Ilustracja otwierająca wygenerowana za pomocą AI