Кибербезопасность

Apple срочно выпустила исправление для уязвимости нулевого дня в CoreGraphics — графической платформе, которая лежит в основе отображения графики и изображений на iPhone, iPad и Mac. Компания подтвердила, что уязвимость использовалась в...

28 сентября 2026 г.5 мин чтения

By Сара Чен — Сертификация CEH, опыт в тестировании на проникновение и сетевой безопасности

Apple срочно выпустила исправление для уязвимости нулевого дня в CoreGraphics — графической платформе, которая лежит в основе отображения графики и изображений на iPhone, iPad и Mac. Компания подтвердила, что уязвимость использовалась в так называемых «чрезвычайно изощрённых атаках против конкретных целевых лиц» — формулировка, которую Apple обычно приберегает для кампаний в стиле шпионского ПО, а не для повседневной киберпреступности. Патч для уязвимости нулевого дня в CoreGraphics для iOS вышел в составе iOS 26.7.1 и сопутствующих обновлений, наряду с более масштабным релизом iOS 27.0.1, включающим в основном неописанные исправления ошибок.

Что на самом деле делает эксплойт нулевого дня в CoreGraphics

CoreGraphics — одна из самых низкоуровневых платформ в операционных системах Apple. Она отвечает за то, как изображения, PDF-файлы и другой визуальный контент отрисовываются на экране, а значит, затрагивает почти всё, что видит пользователь, — от миниатюры текстового сообщения до графики на веб-странице. Уязвимости в подобных компонентах отрисовки изображений давно имеют историю эксплуатации в «бесклик»-атаках (zero-click), когда цели не нужно нажимать на вредоносную ссылку или открывать подозрительный файл. Достаточно просто получить специально сформированное изображение или документ, чтобы запустить эксплойт.

Apple не опубликовала подробных технических деталей о том, как работает эта конкретная уязвимость, — это стандартная практика, пока патч ещё распространяется среди широкой базы пользователей. Ясно одно: уязвимость была достаточно серьёзной и уже активно эксплуатировалась, чтобы оправдать экстренный внеплановый выпуск вместо ожидания очередного цикла обновлений.

Кто является целью и почему это важно за пределами «обычных пользователей»

Формулировка Apple — «конкретные целевые лица», подвергшиеся «чрезвычайно изощрённым атакам», — сильный сигнал о том, что этот эксплойт не был частью массовой вредоносной кампании. Исторически подобные формулировки сопровождают атаки, связанные с коммерческими поставщиками шпионского ПО или государственными акторами, которые преследуют журналистов, активистов, диссидентов, юристов и государственных чиновников, а не широкую публику.

Это различие важно, но оно не должно усыплять бдительность большинства пользователей. Эксплойты нулевого дня, разработанные для узких, высокоценных целей, имеют историю утечек, перепрофилирования или включения в более широкие инструментарии со временем. Даже если вы лично никогда не окажетесь в прицеле изощрённого актора, сама уязвимость, существующая на вашем устройстве, представляет реальный риск, пока не будет исправлена. Это также не единичный инцидент. Платформы Apple в недавней памяти сталкивались с чередой целевых атак нулевого дня, и всего несколько месяцев назад Голландское киберведомство подтвердило активную эксплуатацию отдельной уязвимости нулевого дня в macOS, что подчёркивает: экосистема Apple, несмотря на свою репутацию в области безопасности, остаётся постоянной целью для хорошо обеспеченных ресурсами атакующих.

Почему немедленное обновление до iOS 26.7.1 критически важно

Как только эксплойт нулевого дня публично признан и выпущен патч, часы начинают тикать в обратном направлении. Исследователи безопасности и, к сожалению, менее добросовестные акторы могут провести обратную разработку исправления, чтобы понять, что было сломано и как эксплуатировать это на неисправленных устройствах. Это означает, что окно между «патч доступен» и «эксплойт становится широко применимым» имеет тенденцию быстро сокращаться.

Хорошая новость в том, что установить патч для уязвимости нулевого дня в CoreGraphics в iOS несложно. Перейдите в «Настройки», затем «Основные», затем «Обновление ПО» и установите iOS 26.7.1 (или эквивалентное обновление для вашего устройства и версии ОС), как только оно станет доступно. То же самое касается iPadOS, macOS и любых других платформ Apple, получающих связанные исправления. Учитывая, что Apple объединила эти исправления с более масштабным релизом iOS 27.0.1, обновление также приносит набор общих исправлений ошибок, хотя Apple не описала большинство из них публично.

Где VPN и шифрование помогают, а где нет — против изощрённых целевых атак

Стоит трезво понимать, от чего на самом деле защищают такие инструменты, как VPN. VPN шифрует ваш интернет-трафик и скрывает ваш IP-адрес от провайдера или любого, кто отслеживает точку подключения. Это ценно для защиты конфиденциальности при просмотре, безопасности данных в публичных Wi-Fi-сетях и затруднения отслеживания вашего местоположения или перехвата незашифрованного трафика третьими сторонами.

Но VPN никак не помогает остановить бесклик-эксплойт, который приходит через вредоносное изображение или файл и использует уязвимость, уже находящуюся в операционной системе вашего устройства. Уязвимость CoreGraphics действует на уровне устройства, а не на уровне сети. Никакое шифрование трафика не помешает уязвимому движку отрисовки обработать вредоносную полезную нагрузку, как только она достигнет устройства. То же самое касается приложений обмена сообщениями со сквозным шифрованием: они защищают содержимое ваших сообщений при передаче, но не могут проверить или заблокировать вложение-ловушку от запуска уязвимости в операционной системе, которая его открывает.

Именно поэтому исправление на уровне устройства остаётся единственной самой важной защитой против этой категории атак. VPN, шифрованные сообщения и другие инструменты приватности — это дополняющие слои, а не замена поддержанию актуальности вашей операционной системы.

Что это значит для вас

Для подавляющего большинства пользователей iPhone и Mac эта конкретная уязвимость нулевого дня не была нацелена лично на них. Тем не менее разумный ответ одинаков независимо от того, считаете ли вы себя высокоценной целью: обновляйтесь оперативно, включайте автоматические обновления там, где это практично, и понимайте, что ни один отдельный инструмент безопасности, включая VPN, не обеспечивает всесторонней защиты от всех видов угроз. Если вы работаете в сфере, более вероятно привлекающей целевое наблюдение, — журналистика, активизм, юридическая работа или государственные должности, — рассмотрите включение режима блокировки (Lockdown Mode), встроенной функции Apple, специально разработанной для сокращения поверхности атаки против изощрённых эксплойтов, подобных этому.

Практические выводы

Немедленно обновитесь до iOS 26.7.1 (или соответствующей исправленной версии для вашего устройства) через «Настройки», «Основные», «Обновление ПО».
Не откладывайте, полагая, что вы не являетесь целью; неисправленные уязвимости остаются эксплуатируемыми для любого, кто проведёт обратную разработку исправления.
Помните, что VPN и шифрованные приложения защищают данные при передаче, но не от эксплойтов на уровне устройства, таких как эта уязвимость CoreGraphics.
Если ваша роль подвергает вас повышенному риску целевого наблюдения, изучите режим блокировки Apple в качестве дополнительной меры защиты.
Помните, что это вписывается в более широкую картину целевых атак нулевого дня против устройств Apple, поэтому относитесь к каждому обновлению безопасности как к заслуживающему оперативных действий.

FAQ Q1: Что такое CoreGraphics и почему уязвимость в ней значима? A1: CoreGraphics — одна из самых низкоуровневых платформ в операционных системах Apple, отвечающая за то, как изображения, PDF-файлы и другой визуальный контент отрисовываются на экране. Поскольку она затрагивает почти всё, что видит пользователь, уязвимости в ней давно имеют историю эксплуатации в бесклик-атаках. Q2: Какие обновления содержат исправление уязвимости нулевого дня в CoreGraphics? A2: Исправление вышло в составе iOS 26.7.1 и сопутствующих обновлений, наряду с более масштабным релизом iOS 27.0.1, включающим в основном неописанные исправления ошибок. Q3: Кто был целью этого эксплойта? A3: Apple сообщила, что уязвимость использовалась в «чрезвычайно изощрённых атаках против конкретных целевых лиц» — формулировка, которую компания обычно приберегает для кампаний в стиле шпионского ПО, а не для повседневной киберпреступности. Q4: Нужно ли нажимать на ссылку или открывать файл, чтобы подвергнуться воздействию такого эксплойта? A4: Нет. Уязвимости в компонентах отрисовки изображений, таких как CoreGraphics, давно имеют историю эксплуатации в «бесклик»-атаках, когда достаточно просто получить специально сформированное изображение или документ, чтобы запустить эксплойт. Q5: Почему обычным пользователям должно быть небезразлично, если атака нацелена лишь на конкретных лиц? A5: Эксплойты нулевого дня, разработанные для узких, высокоценных целей, имеют историю утечек, перепрофилирования или включения в более широкие инструментарии со временем. Даже если вы лично никогда не станете целью, сама уязвимость, существующая на вашем устройстве, представляет реальный риск, пока не будет исправлена. ---END---

// FAQ

Что такое CoreGraphics и почему уязвимость в нём имеет большое значение?

CoreGraphics — один из самых низкоуровневых фреймворков в операционных системах Apple, отвечающий за то, как изображения, PDF-файлы и другой визуальный контент отображаются на экране. Поскольку он затрагивает почти всё, что видит пользователь, уязвимости в нём издавна эксплуатируются в атаках типа «zero-click».

Какие обновления содержат исправление zero-day в CoreGraphics?

Исправление появилось в iOS 26.7.1 и сопутствующих обновлениях, наряду с более масштабным выпуском iOS 27.0.1, который включает в основном неконкретизированные исправления ошибок.

Кто был целью этой эксплуатации?

Apple заявила, что уязвимость использовалась в «крайне изощрённых атаках против конкретных целенаправленно выбранных лиц» — формулировка, которую компания обычно приберегает для кампаний в стиле шпионского ПО, а не для повседневной киберпреступности.

Нужно ли мне нажать на ссылку или открыть файл, чтобы подвергнуться воздействию такой эксплуатации?

Нет. Уязвимости в компонентах отрисовки изображений, таких как CoreGraphics, издавна эксплуатируются в атаках типа «zero-click», когда достаточно просто получить специально созданное изображение или документ, чтобы запустить эксплойт.

Почему обычным пользователям должно быть небезразлично, если атака нацелена лишь на конкретных лиц?

Эксплойты zero-day, разработанные для узких, высокоценных целей, имеют свойство со временем утекать, перепрофилироваться или включаться в более широкие инструментарии. Даже если вы никогда не становитесь личной целью, сама уязвимость, присутствующая на вашем устройстве, остаётся реальным риском, пока не будет устранена.