Aktualizované: PoC od Calif pre CoreGraphics ukazuje pád, funkčný RCE exploit potvrdený nie je

PoC od Calif pre CoreGraphics pri zraniteľnosti CVE-2026-86950 je už verejný. Výskumníci 30. septembra zverejnili analýzu, generátor testovacieho PDF a súvisiace skripty. Škodlivý PDF súbor s upraveným fontom TrueType vyvolá pád v zraniteľnom komponente CoreGraphics v macOS a podľa autorov aj v iOS.

Podstatné spresnenie je, že verejný dôkaz konceptu demonštruje pád v CoreGraphics a zápis mimo hraníc pamäte. Neobsahuje verejne potvrdený funkčný exploit na vzdialené spustenie kódu, hoci Apple pri chybe uvádza, že spracovanie škodlivo vytvoreného súboru mohlo viesť k spusteniu ľubovoľného kódu.

PoC od Calif pre CoreGraphics ukazuje chybu vo fontoch

CVE-2026-86950 je chyba zápisu mimo hraníc pamäte v CoreGraphics, systémovom grafickom komponente Apple. Calif vo svojom výskume opisuje, ako upravený TrueType font vložený do PDF vedie k reprodukovateľnému pádu. Autori výslovne uvádzajú, že prechod od pádu k spusteniu kódu je samostatná ďalšia práca.

Nezávislé správy potvrdzujú, že zverejnené materiály zahŕňajú testovací generátor a skripty, nie hotový RCE exploit. Verejne dostupný PoC preto nemožno označovať za funkčný nástroj na prevzatie zariadenia.

Objavenie reprodukčného pádu napriek tomu znižuje bariéru pre ďalší bezpečnostný výskum. Môže pomôcť analyzovať technickú príčinu chyby a prípadne hľadať spoľahlivejšie spôsoby jej zneužitia. V čase zverejnenia však nezávisle overený funkčný RCE exploit verejne potvrdený nie je.

Apple vydal opravy 28. septembra

Apple chybu opravil 28. septembra v iOS a iPadOS 26.7.1, macOS Tahoe 26.7.1 a macOS Sequoia 15.8.1. Spoločnosť uviedla, že problém vyriešila zlepšenou kontrolou hraníc pri práci s pamäťou.

V bezpečnostnom oznámení Apple zároveň napísal, že dostal hlásenie o možnom zneužití chyby pri útoku na konkrétne cielené osoby používajúce verzie iOS pred iOS 27. Kanadské centrum pre kybernetickú bezpečnosť tiež uvádza, že CISA 29. septembra zaradila CVE-2026-86950 do katalógu Known Exploited Vulnerabilities.

Formulácia spoločnosti Apple však nepotvrdzuje, že zverejnený PoC od Calif je totožný so vzorkou použitou pri spomínanom cielenom útoku. Verejne známy nie je ani kompletný reťazec útoku, jeho rozsah či indikátory kompromitácie.

WhatsApp ani platené „RCE“ repozitáre nie sú potvrdením

V súvislosti s chybou sa objavila hypotéza, že jednou z možných ciest doručenia škodlivého PDF mohol byť WhatsApp. Vychádza z analýzy zmien vo WhatsAppe, no Calif ani Apple túto cestu nepotvrdili a nebola prakticky otestovaná ako súčasť opísaného PoC.

Za dôkaz funkčného exploitu nemožno považovať ani neoverený repozitár DeAurity/CVE-2026-86950-POC, ktorý uvádza RCE a platené stiahnutie. Tieto tvrdenia nie sú dôveryhodne overené.

Odporúčaná ochrana je aktualizácia

Známou mitigáciou je inštalácia dostupnej opravy: iOS alebo iPadOS 26.7.1, macOS Tahoe 26.7.1 alebo macOS Sequoia 15.8.1 podľa používaného zariadenia. Aktualizácia je dôležitá aj preto, že Apple spojil chybu s možným cieleným zneužitím na starších verziách iOS.

Ďalší vývoj ukáže, či Apple, Meta Product Security alebo Calif zverejnia potvrdený doručovací vektor či väzbu medzi PoC a pozorovanými útokmi. Dôležité bude tiež prípadné nezávislé overenie funkčného RCE exploitu alebo zverejnenie indikátorov kompromitácie.

Overené a aktualizované: 01. 10. 2026 15:30