Apple выпустила iOS 27.2: 163 исправления безопасности и что проверить в iOS-приложениях

26 октября 2026 года Apple выпустила iOS и iPadOS 27.2 с исправлениями 163 уязвимостей. Самые опасные — в движке WebKit: специально созданная веб-страница могла выполнить код на устройстве. О реальных атаках Apple не сообщает, но обновиться стоит сразу: WebKit работает и внутри сторонних приложений.

Для команд, которые ведут разработку iOS-приложений, это не только новость для пользователей. Встроенные браузеры, экраны оплаты и веб-разделы на WKWebView используют системный WebKit, поэтому исправить такие уязвимости патчем приложения нельзя — защита приходит только с обновлением ОС.

Одновременно Apple закрыла уязвимости в macOS, watchOS, tvOS, visionOS и Safari, а для старых iPhone выпустила iOS 18.7.11 с исправлением уже эксплуатировавшейся ошибки CoreGraphics. Ниже — что именно исправлено и что проверить в продуктах мобильной разработки под iOS.

Что исправлено в iOS 27.2

Бюллетень безопасности Apple для iOS 27.2 и iPadOS 27.2 содержит 163 идентификатора CVE. Обновление доступно для iPhone 11 и новее, а также для iPad Pro, iPad Air 4-го поколения и новее, iPad 9-го поколения и новее и iPad mini 6-го поколения и новее. Большая часть ошибок — повреждения памяти: use-after-free, запись и чтение за границами буфера.

• WebKit и связанные подсистемы — по подсчёту SecurityWeek, более 30 уязвимостей. Несколько из них, в том числе CVE-2026-112697, CVE-2026-112655 и CVE-2026-112651, при обработке вредоносного веб-контента могли привести к выполнению произвольного кода.
• Выход из песочницы Web Content. CVE-2026-113897 в WebKit Process Model позволяла удалённому атакующему выбраться из песочницы; Apple устранила её, удалив уязвимый код. Похожую проблему, CVE-2026-112690, исследователи Cisco Talos нашли в компоненте App Store.
• Ядро — 15 исправлений, а также ошибки в ImageIO, CoreMedia, AVEVideoEncoder, FontParser и других фреймворках, которые разбирают изображения, видео, шрифты и аудио.
• Apple Intelligence. CVE-2026-86987 могла дать удалённому атакующему доступ к чувствительным данным пользователя на iPhone 15 Pro и новее.
• Приватность. Логическая ошибка CVE-2026-112500 в «Почте» могла раскрыть настоящий адрес при использовании «Скрыть e-mail», а CVE-2026-84493 в AccessorySetupKit позволяла вредоносному приложению получить доступ к Bluetooth без согласия пользователя.

Какие ещё обновления вышли 26 октября

По данным SecurityWeek, вместе с iOS 27.2 вышла macOS 27.2 с исправлениями 263 уязвимостей; всего в двух системах закрыто 286 уникальных проблем, около 140 из них общие. tvOS 27.2 получила 72 исправления, watchOS 27.2 — 62, visionOS 27.2 — 125, Safari 27.2 — 33.

Владельцы устройств на прошлых ветках тоже не остались без патчей: iOS 26.7.2 закрывает 134 уязвимости, а iOS и iPadOS 18.7.11 — три, включая CVE-2026-86950. Эту ошибку CoreGraphics Apple ранее назвала эксплуатируемой в «чрезвычайно сложной атаке» и исправила в конце сентября в iOS 26.7.1 — мы писали о ней в новости про zero-day в Apple CoreGraphics. Теперь исправление дошло и до старых iPhone.

Почему патч ОС важен для iOS-приложений

Ошибки WebKit и системных фреймворков — это ошибки и вашего приложения тоже. Всё, что приложение показывает через WKWebView или SFSafariViewController, обрабатывает системный движок. Изображения и видео, которые приложение получает из чата, почты или по ссылке, обычно декодируют ImageIO и CoreMedia. Если пользователь не обновил iOS, уязвимый код продолжает работать внутри вашего продукта, какой бы аккуратной ни была ваша сборка.

Отсюда главный риск: приложения, которые открывают в веб-представлении непроверенный контент — ссылки из сообщений, пользовательские страницы, рекламные лендинги. Банковские, медицинские и корпоративные приложения с чувствительными данными стоит рассматривать как приоритетные.

Что сделать командам iOS-разработки

1. Обновите тестовые устройства до iOS 27.2 и прогоните регресс критичных сценариев: авторизации, оплаты, экранов на WebKit, работы с медиафайлами.
2. Проверьте, какой веб-контент открывают ваши WKWebView. Ограничьте навигацию доверенными доменами, а внешние ссылки открывайте в Safari, а не во встроенном браузере.
3. Решите вопрос с минимальной версией iOS. Для приложений с чувствительными данными имеет смысл мягко напоминать пользователю об обновлении системы, если версия ниже актуальной.
4. Обновите корпоративный парк. Если устройства сотрудников управляются через MDM, назначьте установку iOS 27.2, а для старых моделей — iOS 18.7.11 или 26.7.2.
5. Проверьте свои разрешения Bluetooth и App Intents. Исправления AccessorySetupKit и App Intents ужесточают проверки прав; если приложение работает с аксессуарами или интентами, убедитесь, что поведение не изменилось.

Часто задаваемые вопросы

Использовались ли уязвимости iOS 27.2 в атаках? Apple не сообщает об эксплуатации ни одной из 163 уязвимостей. Исключение в этом цикле — CVE-2026-86950 в CoreGraphics, исправленная ранее и теперь перенесённая в iOS 18.7.11.

Нужно ли выпускать новую сборку приложения? Нет, исправления WebKit и системных фреймворков приходят с обновлением iOS. Новая сборка нужна, только если регресс на iOS 27.2 выявит проблемы в вашем коде.

Какие устройства получат iOS 27.2? iPhone 11 и новее и совместимые модели iPad. Для более старых устройств Apple выпустила iOS 26.7.2 и iOS 18.7.11.

Источники

• Apple Support — About the security content of iOS 27.2 and iPadOS 27.2, 26 октября 2026 (первоисточник).
• SecurityWeek — iOS, macOS 27.2 Patch 286 Bugs; Fix for Exploited Flaw Backported to iOS 18, октябрь 2026.
• Apple Developer — Releases: iOS 27.2, iPadOS 27.2, iOS 18.7.11, 26 октября 2026.