Apple выпустила обновление для всех поддерживаемых моделей iPhone и iPad с исправлением критического нулевого дня (zero-day). Это уязвимость, которая может быть использована злоумышленниками для выхода за пределы безопасного песочницы в браузере. Apple сообщила, что это уязвимость была потенциально использована в «достаточно сложной атаке против конкретных целевых лиц» с помощью старых версий iOS.
Уязвимость, отслеживаемая под номером CVE-2025-24201, находится в WebKit — браузерном движке, который управляет Safari и другими браузерами на iPhone и iPad. Уязвимым являются все устройства начиная с iPhone XS и более новых моделей до последних поколений iPad.
В результате этой уязвимости происходит запись в память за пределы допустимого диапазона, что позволяет злоумышленникам выходить из песочницы безопасности. Это может привести к серьезным последствиям для пользователей.
Apple не указала, когда началась и как долго продолжалась эта атака, и также не сообщила о том, кто обнаружил эту уязвимость — было ли это исследователи внутри компании или внешние источники. Это обычно дает важные подсказки о тех, кто проводит атаки и на кого они направляются.
Данное обновление привело к выпуску iOS 18.3.2 и iPadOS 18.3.2. Больше всего угроза уязвимости представляется для лиц, являющихся целью хорошо финансируемых правоохранительных органов или шпионских агентств государств. Они должны установить обновление немедленно.
Хотя нет никаких признаков того, что эта уязвимость эксплуатируется случайным образом против более широкого круга пользователей, рекомендуется установить обновления в течение 36 часов после их выпуска.