База данных по кибербезопасности зарегистрировала четыре бюллетеня об уязвимостях в операционных системах Apple

Служба отслеживания уязвимостей кибербезопасности VulDB 14 сентября 2026 года внесла в каталог четыре отдельных бюллетеня по безопасности, подробно описывающих уязвимости в программной экосистеме Apple, включая iOS, iPadOS, macOS, tvOS, visionOS и watchOS. Раскрытые сведения, зарегистрированные под идентификаторами системы Common Vulnerabilities and Exposures (CVE) CVE-2026-84571, CVE-2026-84560, CVE-2026-84561 и CVE-2026-84559, включают в себя недостатки — от удаленного повреждения памяти до сбоев в логике авторизации и локальных привилегий. Затронутое программное обеспечение охватывает несколько поколений релизов операционных систем Apple для настольных ПК, мобильных и носимых устройств, а также пространственных компьютеров. Оценки степени тяжести, опубликованные вместе с бюллетенями, ранжируют проблемы от проблематичных недостатков локального доступа до критически опасных векторов удаленного выполнения кода.

## Key facts

- База данных мониторинга кибербезопасности VulDB 14 сентября 2026 года опубликовала записи о четырех уязвимостях безопасности, затрагивающих операционные системы Apple. - Зарегистрированная под номером CVE-2026-84571 критическая уязвимость переполнения буфера затрагивает Apple iOS, iPadOS, macOS, tvOS, visionOS и watchOS до версии 26. - Обозначенная как CVE-2026-84561 удаленная уязвимость повреждения памяти типа double-free затрагивает программное обеспечение iOS, iPadOS, macOS, tvOS, visionOS и watchOS до версий 26.7, 27 и 15.8. - Зарегистрированная как CVE-2026-84560 уязвимость некорректной авторизации, классифицированная как критическая, затрагивает версии систем до 26 во всех основных линейках операционных систем Apple. - Внесенная в каталог под номером CVE-2026-84559 уязвимость локальных прав доступа, классифицированная как проблематичная, затрагивает установки Apple macOS до версий 15.7, 26 и 26.6.

## What happened

Согласно записям о раскрытии, опубликованным VulDB 14 сентября 2026 года, были созданы четыре отдельные записи об уязвимостях, охватывающие недостатки безопасности в платформах операционных систем Apple. Раскрытые данные охватывают различные типы уязвимостей, требования к исполнению и целевые системы.

Первый бюллетень, зарегистрированный как CVE-2026-84571, описывает уязвимость переполнения буфера, затрагивающую версии программного обеспечения Apple iPadOS, iOS, macOS, tvOS, visionOS и watchOS до 26. Классифицированная как очень критическая, эта уязвимость связана с манипуляциями при обработке памяти, хотя конкретная функция программного обеспечения или компонент библиотеки в записи базы данных не уточняются.

Второй бюллетень под номером CVE-2026-84560 подробно описывает уязвимость некорректной авторизации, присутствующую в той же линейке операционных систем — iPadOS, iOS, macOS, tvOS, visionOS и watchOS до версии 26. Оцененный как критический, этот элемент указывает на то, что определенные манипуляции с входными данными приводят к тому, что операционная система обходит или некорректно применяет средства контроля авторизации безопасности.

Третье раскрытие, обозначенное как CVE-2026-84561, подробно описывает уязвимость управления памятью типа double-free. Классифицированная как очень критическая, запись указывает на то, что уязвимость допускает векторы удаленной атаки без необходимости предварительного физического доступа к устройству. Эта ошибка затрагивает сборки iOS, iPadOS, macOS, tvOS, visionOS и watchOS до пороговых версий 26.7, 27 и 15.8. Состояние double-free возникает, когда приложение пытается дважды освободить одну и ту же область памяти, что приводит к повреждению памяти кучи.

Четвертая запись, зарегистрированная под номером CVE-2026-84559, описывает уязвимость прав доступа, касающуюся только Apple macOS. Оцененная как проблематичная, уязвимость затрагивает установки macOS до версий 15.7, 26 и 26.6. В отличие от записей об удаленном повреждении памяти, VulDB сообщает, что эксплуатация CVE-2026-84559 требует вектора локальной атаки, то есть злоумышленник уже должен иметь локальный доступ к машине или возможности выполнения локального кода для вызова этой ошибки прав доступа.

## Why it matters

Уязвимости программного обеспечения в основных операционных системах представляют собой системные риски, поскольку современные платформы устройств используют общие базовые программные слои. Apple опирается на общую базовую архитектуру, включая ядро XNU, базовый слой Darwin и общие низкоуровневые фреймворки для iOS, iPadOS, macOS, tvOS, visionOS и watchOS. В результате ошибка управления памятью низкого уровня или сбой в логике авторизации, обнаруженные в общем фреймворке, часто воспроизводятся на сотнях миллионов пользовательских и корпоративных устройств — от iPhone и MacBook до Apple Watch и гарнитур Vision Pro.

Уязвимости повреждения памяти, в частности переполнение буфера (CVE-2026-84571) и состояния double-free (CVE-2026-84561), относятся к числу наиболее опасных классов дефектов безопасности в современной вычислительной технике. При эксплуатации повреждение памяти позволяет злоумышленникам выполнять произвольный код в контексте уязвимого процесса. Возможности удаленной эксплуатации, как отмечено в записи CVE-2026-84561, значительно повышают риск, поскольку злоумышленники могут атаковать подключенные к сети устройства без взаимодействия с пользователем или физического владения устройством. Исторически сложилось так, что нетребующие аутентификации удаленные уязвимости повреждения памяти в мобильных операционных системах служили начальными векторами доступа для сложных шпионских программ и цепочек эксплойтов нулевого клика.

И наоборот, локальные уязвимости прав доступа, такие как CVE-2026-84559, и проблемы авторизации, такие как CVE-2026-84560, представляют собой логические сбои в модели безопасности. Даже при ограничении векторами локального доступа уязвимости прав доступа позволяют повышать привилегии, давая низкопривилегированным приложениям или вредоносному ПО возможность обходить границы песочницы и получать административные права или доступ к защищенным системным ресурсам.

## The background

Уязвимости безопасности программного обеспечения классифицируются и индексируются во всем мире с помощью системы Common Vulnerabilities and Exposures (CVE), курируемой корпорацией MITRE совместно с уполномоченными органами присвоения номеров CVE (CNA) и финансируемой Агентством по кибербезопасности и защите инфраструктуры США (CISA). Платформы отслеживания безопасности, такие как VulDB, агрегируют заявки CVE, оценивая технические показатели для назначения уровней серьезности и отслеживания доступности патчей.

Безопасность операционной системы в значительной степени зависит от надежной безопасности памяти и применения авторизации. Переполнение буфера происходит, когда данные, записываемые в буфер выделения памяти, выходят за пределы выделенных границ, перезаписывая смежное пространство памяти. В компилируемых языках программирования, таких как C, C++ и Objective-C, которые составляют значительную часть унаследованных ядер операционных систем и основных фреймворков, разработчики должны вручную управлять выделением памяти и проверками границ массивов. Отсутствие проверки длины входных данных может позволить контролируемым злоумышленником данным перезаписать управляющие структуры, что приведет к нестабильности системы или выполнению вредоносного кода.

Уязвимости double-free возникают при динамическом управлении памятью. Когда программа выделяет память в куче, она получает указатель на этот адрес. По завершении обработки программа должна вернуть эту память обратно системному распределителю. Если логика кода освобождает тот же адрес памяти второй раз без промежуточного выделения, внутренние структуры отслеживания менеджера кучи могут быть повреждены. Исследователи безопасности регулярно демонстрируют, что контролируемые манипуляции с кучей после состояния double-free позволяют злоумышленникам перезаписывать указатели функций и перехватывать поток выполнения.

Для противодействия этим угрозам практики разработки программного обеспечения сместились в сторону безопасных с точки зрения работы с памятью языков программирования, таких как Swift и Rust, которые включают автоматическое управление памятью и проверку границ во время компиляции. Кроме того, операционные системы используют аппаратные и программные средства защиты, включая рандомизацию размещения адресного пространства (ASLR), предотвращение выполнения данных (DEP) и коды аутентификации указателей (PAC). Однако при наличии уязвимостей в незащищенных блоках кода или низкоуровневых драйверах эти средства защиты иногда можно обойти.

## Reaction

Сообщения об уязвимостях безопасности, зарегистрированные в публичных базах данных, обычно запускают стандартизированные процедуры реагирования в корпоративных технологических средах и центрах обеспечения безопасности. Корпоративные ИТ-администраторы и аналитики по безопасности мониторят базы данных, такие как VulDB, чтобы сопоставить зарегистрированные версии программного обеспечения с внутренними реестрами активов, оценивая подверженность уязвимостям развернутых мобильных устройств, настольных компьютеров и серверного оборудования.

Когда записи об уязвимостях публикуются до выхода подробных примечаний к релизу от производителя, корпоративные службы безопасности обычно применяют промежуточные меры по снижению рисков. Эти меры включают в себя введение строгой сетевой фильтрации, обновление сигнатур систем обнаружения и реагирования на конечных точках (EDR), а также мониторинг платформ управления мобильными устройствами (MDM) на предмет устройств с непротравленными версиями ПО.

Команды безопасности вендоров, включая Apple Product Security, обычно оценивают зарегистрированные уязвимости для подтверждения первопричин, публикуют официальные бюллетени по безопасности Apple (документы HT) и выпускают бинарные обновления для затронутых линеек операционных систем. Исследовательские организации в сфере кибербезопасности и независимые исследователи уязвимостей также отслеживают реестры CVE для оценки технического воздействия и проверки эффективности исправлений после широкого распространения патчей.

## What we don't know yet

Первоначальные записи базы данных, опубликованные VulDB, содержат несколько ключевых технических упущений, которые остаются нераскрытыми в публичной документации:

- Конкретные программные компоненты, библиотеки, модули ядра или интерфейсы прикладного программирования (API), затронутые каждой CVE, указаны как неизвестные в первоначальных записях раскрытия. - На данный момент не подтверждено, подверглась ли какая-либо из четырех уязвимостей (CVE-2026-84571, CVE-2026-84560, CVE-2026-84561 или CVE-2026-84559) активной эксплуатации «нулевого дня» (zero-day) до внесения в каталог. - Конкретные числовые метрики системы CVSS (Common Vulnerability Scoring System), строки векторов и официальные перекрестные ссылки на бюллетени вендора (такие как идентификаторы Apple Security Release) еще не были привязаны в первоначальных обновлениях базы данных. - Точные номера сборок патчей программного обеспечения, содержащие окончательное исправление для каждой соответствующей платформы, не были подробно описаны в исходных записях.

## What to watch

В дальнейшем операционный эффект этих раскрытий будет определяться несколькими ключевыми индикаторами:

- Обновления официальных бюллетеней безопасности Apple, публикуемых на support.apple.com, в которых будут подробно описаны точные номера сборок ПО, содержащих исправления для iOS, iPadOS, macOS, tvOS, visionOS и watchOS. - Изменения в каталоге MITRE CVE и Национальной базе данных уязвимостей США (NVD), которые заполнят полные детализации оценок CVSS и классификации Common Weakness Enumeration (CWE). - Потенциальное включение любой из этих уязвимостей в каталог известных эксплуатируемых уязвимостей CISA (Known Exploited Vulnerabilities — KEV), который предписывает сроки установки патчей для федеральных агентств в случае обнаружения активной эксплуатации. - Публикация технических разборов, концептуального кода (proof-of-concept / PoC) или анализов обратной разработки независимыми исследовательскими группами в области кибербезопасности. - Метрики развертывания обновлений системы в корпоративных парках устройств, управляемых с помощью автоматизированных средств патчинга и протоколов управления мобильными устройствами.

Этот информационный материал основан на записях о раскрытии уязвимостей, опубликованных VulDB.