iOS 26.7.1 täpper till hålet där en enda riggad fil kunde ta över din iPhone

Apple har släppt iOS 26.7.1 för att täppa till ett säkerhetshål i CoreGraphics, den del av systemet som visar bilder och öppnar PDF-filer. Felet gjorde det möjligt för en enda manipulerad fil att köra angriparens kod på en iPhone eller iPad. Apple uppger att sårbarheten kan ha utnyttjats mot utvalda personer. Om din telefon fortfarande kör iOS 26 i stället för iOS 27 är det här uppdateringen du bör installera redan i dag.

Risken finns i något som alla telefoner gör hela tiden, utan att fråga dig. Bilder, PDF-filer, förhandsvisningar i chattar och bilagor i mejl passerar alla genom CoreGraphics innan de visas på skärmen. En sårbarhet på den nivån innebär att den drabbade inte behöver installera något misstänkt. Det kan räcka att öppna, eller bara visa, en skadligt manipulerad fil för att angriparen ska få kontroll.

Apple beskriver felet som en skrivning utanför tilldelat minnesområde, ett programmeringsfel som gör att data kan hamna utanför det minnesutrymme de skulle fylla och skriva över kod som angriparen vill byta ut. Enligt Apple består åtgärden av förbättrade kontroller av minnesgränser. Företaget uppger att det känner till en rapport om att felet kan ha utnyttjats i en extremt sofistikerad attack mot särskilt utvalda personer på versioner av iOS före iOS 27.

Felet rapporterades till Apple av Metas produktsäkerhetsteam, som också ansvarar för säkerheten i WhatsApp, Instagram och Facebook Messenger – tre appar som hanterar enorma mängder bilder och filer varje dag. Inget av företagen har uppgett vilka som utsattes, hur många personer som drabbades eller vem som låg bakom attacken, rapporterar TechCrunch.

Apple har tidigare använt samma formulering – en extremt sofistikerad attack mot särskilt utvalda personer – om fall kopplade till kommersiella spionprogram riktade mot journalister, aktivister och myndighetspersoner snarare än om angrepp i stor skala. För de flesta iPhone-ägare är den praktiska risken mindre. Men när en säkerhetsuppdatering väl har släppts kan forskare och kriminella studera vad som ändrats och försöka återskapa attacken. Därför blir telefoner som inte uppdaterats lättare mål under de följande veckorna.

Uppdateringen täpper inte till alla luckor. Apples säkerhetsmeddelande omfattar iPhone 11 och senare modeller, vilket innebär att ägare till äldre modeller som inte kan köra iOS 26 inte får någon åtgärd i den här versionen. Ingen av rapporterna hittills nämner någon säkerhetsuppdatering för Mac-datorer med versioner äldre än Sequoia. Den som löper verklig risk att utsättas för riktade angrepp behöver dessutom mer än en uppdatering: Apples Lockdown Mode, som stänger av många förhandsvisningar av filer och typer av bilagor, finns till just för den här sortens angrepp.

iOS 27 påverkas inte, vilket gör valet enklare. Systemet fungerar på samma telefoner som iOS 26, från iPhone 11 och framåt, så alla enheter som omfattas av den här säkerhetsuppdateringen kan också uppgraderas till den nya huvudversionen. Många ägare väntar några veckor med en större uppdatering för att slippa tidiga buggar eller klagomål på batteritiden. Den här åtgärden gör att de kan stanna kvar utan att förbli sårbara. En separat iMessage-sårbarhet, som inte krävde någon tryckning alls och upptäcktes av det belgiska företaget ironPeak, åtgärdades redan i iOS 27 tidigare den här månaden, enligt TechCrunch.

Säkerhetsuppdateringarna gäller fler enheter än telefoner. Apple släppte iOS 26.7.1 och iPadOS 26.7.1 den 28 september, tillsammans med macOS Tahoe 26.7.1 och macOS Sequoia 15.8.1 för Mac. På iPad omfattar åtgärden iPad Pro 12.9-inch från tredje generationen, iPad Pro 11-inch från första generationen, iPad Air från tredje generationen, standardmodellen av iPad från åttonde generationen och iPad mini från femte generationen. Uppdateringen finns tillgänglig över hela världen via Inställningar, sedan Allmänt och Programuppdatering. På Mac hittar du den i Systeminställningar.

Sårbarheten har identifieraren CVE-2026-86950. Apple har inte sagt om fler detaljer kommer att publiceras och lämnar sällan ut sådana uppgifter medan en attack fortfarande utreds. Det enda skydd företaget erbjuder är det som redan finns på skärmen för Programuppdatering.

Taggar: cybersäkerhet, Apple, meta, iphone, CoreGraphics, iOS 26.7.1