Apple, iOS 26, iPadOS 26 ve macOS 26'daki aktif olarak istismar edilen grafik motoru açığını yamaladı

Apple neyi düzeltti

Apple, iOS 26, iPadOS 26 ve macOS 26 için, şirketin gerçek hedeflere karşı kullanılmış olabileceğini belirttiği bir güvenlik açığını kapatan bir güvenlik güncellemesi yayınladı. TechCrunch'a göre Apple, açığın olanak sağladığı saldırıları son derece sofistike ve iOS 27'den eski sürümleri çalıştıran belirli, hedeflenmiş kişilere yönelik olarak nitelendirdi.

Apple'ın güvenlik bültenine göre, CVE-2026-86950 olarak takip edilen açıklık, iPhone, iPad ve Mac'lerde arayüzü ve görselleri işleyen çekirdek grafik motorunda yer alıyor. Keşfi Meta'nın ürün güvenliği ekibine atfedildi.

Apple, kullanıcılar düzeltmeyi yüklerken standart uygulama olan teknik ayrıntıları açıklamadı. Ancak TechCrunch'ın da belirttiği gibi, bir cihazın grafik motoru genellikle işletim sisteminin geri kalanına geniş kapsamlı erişime sahiptir; bu nedenle çalışan bir exploit'in çok çeşitli kişisel verileri sızdırmak için kullanılması makul bir olasılıktır.İletişime geçildiğinde hem Apple hem de Meta, açıklığın nasıl bulunduğunu açıklamayı veya herhangi bir cihazın gerçekten ele geçirilip geçirilmediğini söylemeyi reddetti. İstismarın arkasında kimin olduğu, ticari casus yazılım üreticileri mi yoksa sıradan siber suçlular mı olduğu da belirsiz.

Yamayı çoğu iPhone sahibi için önemli kılan neden

Açıklık Apple'ın önceki nesil işletim sistemlerini etkilese de, bu sürümler istisna değil kuraldır. TechCrunch, iPhone'ların beşte dördüne yakınının hâlâ iOS 26 çalıştırdığını gösteren Apple'ın kendi benimseme istatistiklerine atıfta bulunuyor.

Eylül başında yayınlanan güncel sürümler olan iOS 27, iPadOS 27 veya macOS 27'ye zaten yükseltilmiş cihazlar bu belirli açıkta etkilenmiyor; yine de onlar da salı günü bir yazılım güncellemesi aldı. Diğer herkes için öneri net: Güncellemeyi, Mac'ler dahil tüm etkilenen cihazlarda standart yazılım güncelleme mekanizması aracılığıyla hemen yükleyin.

iOS 27 sürümüyle kapatılan ikinci bir güncel açık

Bu yama, Apple'ın iOS 27, iPadOS 27 ve macOS 27 sürümlerinde başka bir ciddi güvenlik açığı olan CVE-2026-86869'ı düzeltmesinin hemen ardından geldi. Belçikalı güvenlik firması ironPeak geçen hafta bunu zero-click bir açık olarak nitelendiren ayrıntılı bir analiz yayınladı: kötü amaçlı hazırlanmış bir iMessage, alıcı için hiçbir dokunuş, bağlantı veya görünür işaret olmadan açıklığı sessizce tetikleyebiliyordu.

ironPeak'a göre açık, Apple'ın kötü amaçlı kodun iMessage'ın sandbox'ından kaçmasını ve cihazı ele geçirmesini engellemek için geliştirdiği izolasyon katmanı BlastDoor'ı atlayabiliyordu. Bu tür zero-click açıklandır, gözetim yazılımı satıcılarının tam olarak para ödediği şeydir; çünkü kurbanın fark etme veya müdahale etme şansı hiç olmaz. Keşfi, bulguları bağımsız olarak doğrulayan Meta güvenlik araştırmacılarının yanı sıra ironPeak'tan Niels Hofmans'a atfedildi. Grafik motoru açığında olduğu gibi, CVE-2026-86869'ın düzeltilmeden önce saldırılarda kullanılıp kullanılmadığına dair henüz bir işaret yok.

Neden önemli

Bu güncellemeyi rutin bir yamadan daha acil hale getiren iki şey var. Birincisi, Apple'ın kendi ifadesi: son derece sofistike ve dar kapsamlı hedefli saldırılarla olası istismarı tanımlaması, hiçbir saldırgan tanımlanmamış olsa bile fırsatçı kötü amaçlı yazılımlardan ziyade paralı casus yazılım kampanyalarının profiline uyuyor. İkincisi, etkilenen yazılım çoğu insanın fiilen çalıştırdığı şeydir: iPhone'ların yaklaşık beşte dördü hâlâ iOS 26'da olduğundan, çok büyük bir kurulu taban, derin ayrıcalıklı bir alt sistemdeki bir açığa maruz kalıyor.

İkili düzeltme aynı zamanda Apple platformlarındaki güncel tehdit manzarasını da çiziyor: BlastDoor'ı alt edebilen zero-click bir iMessage açığı ve ardından birkaç hafta içinde Meta'nın güvenlik ekibinin bildirdiği, istismar edilmiş bir grafik motoru açığı. Kullanıcılar için her durumda ders aynı: Çoğu saldırının hâlâ hedeflediği önceki nesil yazılımları beklemeden, her cihazda derhal güncelleme yapın.