Apple патчит уязвимость нулевого дня, используемую в «чрезвычайно сложных» атаках - «Новости»

Компания Apple выпустила обновления для iOS, iPadOS, macOS Tahoe, tvOS, watchOS и visionOS. Разработчики исправили уязвимость в dyld, которая использовалась в целевых атаках на конкретных пользователей. Проблему обнаружили специалисты Google Threat Analysis Group.

Apple выпустила обновления для всех своих ОС, устранив проблему CVE-2026-20700 в компоненте dyld (Dynamic Link Editor). Уязвимость связана с повреждением памяти и позволяла атакующему с доступом на запись в память выполнить произвольный код на уязвимом устройстве.

В бюллетене безопасности специалисты компании предупреждают, что уязвимость уже эксплуатировали в реальных атаках.

Известно, что свежая проблема CVE-2026-20700 использовалась в связке с двумя другими уязвимостями — CVE-2025-14174 и CVE-2025-43529, которые Apple устранила еще в декабре 2025 года.

Также сообщается, что уязвимость нашли эксперты Google Threat Analysis Group, однако никаких подробностей об эксплуатации компания пока не раскрывает. Учитывая, что все три бага использовались вместе, речь явно идет о сложной целевой атаке на отдельных лиц.

Обновления доступны для широкого списка устройств:

• iOS 26.3 и iPadOS 26.3 — iPhone 11 и новее, iPad Pro 12,9 дюйма третьего поколения и новее, iPad Pro 11 дюймов первого поколения и новее, iPad Air третьего поколения и новее, iPad восьмого поколения и новее, iPad mini пятого поколения и новее;


• macOS Tahoe 26.3 — для Mac с macOS Tahoe;


• tvOS 26.3 — Apple TV HD и Apple TV 4K всех моделей;


• watchOS 26.3 — Apple Watch Series 6 и новее;


• visionOS 26.3 — Apple Vision Pro всех моделей.

Для пользователей старых версий систем тоже вышли патчи. Apple выпустила iOS 18.7.5 и iPadOS 18.7.5 для iPhone XS, iPhone XS Max, iPhone XR и iPad седьмого поколения. Также обновились macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 и Safari 26.3 для Mac на Sonoma и Sequoia.

Это первая активно эксплуатируемая 0-day уязвимость, которую Apple исправила в 2026 году. Напомним, что в прошлом году компания устранила семь zero-day, которые использовались в атаках.