CoreGraphics اپل در KEV؛ CVE-2026-86950 با سوءاستفادهٔ بسیار پیچیده روی iOS

وقتی CISA یک CVE را به فهرست Known Exploited Vulnerabilities اضافه می‌کند، بحث دیگر «آیا ممکن است سوءاستفاده شود؟» نیست؛ حرف این است که سوءاستفادهٔ واقعی دیده شده. ۲۹ سپتامبر ۲۰۲۶ همان اتفاق برای CVE-2026-86950 افتاد: out-of-bounds write در CoreGraphics. مهلت remediation اعلام‌شده برای دستگاه‌های فدرال آمریکا ۲ اکتبر است.

چه چیزی پچ شد؟

طبق گزارش The Hacker News و Full Disclosure، باگ یک نوشتن خارج از محدوده است که با فایل دست‌کاری‌شده می‌تواند به arbitrary code execution برسد. مسیر حمله نزدیک به رندر گرافیک و پردازش محتوای بصری است — جایی که فایل «بی‌خطر» باز می‌شود، نه لزوماً جایی که کاربر روی لینک عجیب کلیک کند.

فیکس‌های اعلام‌شده حدود ۲۸ سپتامبر ۲۰۲۶:

• iOS / iPadOS 26.7.1
• macOS Tahoe 26.7.1
• macOS Sequoia 15.8.1

چرا «extremely sophisticated» اینجا مهم است؟

اپل و گزارش‌های ثانویه اشاره می‌کنند که ممکن است این نقص پیش از iOS 27 در حملات بسیار پیچیده علیه افراد خاص روی iOS سوءاستفاده شده باشد. Meta Product Security به‌عنوان گزارش‌دهنده آمده است. این الگو با campaignهای targeted روی دستگاه‌های موبایل هم‌خوان است: exploit گران، هدف محدود، نه لزوماً اسکن گستردهٔ اینترنت.

برای تیم‌هایی که ناوگان اپل مدیریت می‌کنند، اولویت روشن است: بیلدهای 26.7.1 / 15.8.1 را زودتر از staged rollout معمول برسانید، مخصوصاً روی گوشی‌ها و لپ‌تاپ‌هایی که فایل ناشناس یا پیوست باز می‌کنند. KEV اینجا فقط برچسب بوروکراتیک نیست؛ همان سیگنالی است که می‌گوید پچ را عقب نیندازید.