Apple opravil v iPhonu chybu, která útočníkovi v síti dovolila obejít ověření IPsec

Apple vydal 17. srpna aktualizaci iOS 26.6.1 a v přehledu jejího bezpečnostního obsahu je devětadvacet záznamů CVE. Devatenáct z nich patří WebKitu, tedy tomu, co se v telefonu děje při prohlížení webu. Jedna položka do té řady nezapadá: Apple ji vede pod komponentou Telephony a nemluví u ní o prohlížeči, ale o síťovém provozu.

K záznamu CVE-2026-65329 stojí jediná věta o dopadu. Útočník v privilegované pozici v síti mohl obejít ověření IPsec a odposlouchávat provoz. Popis opravy je stejně úsporný: chyba v ověřování, vyřešená lepší správou stavu. Pod záznamem jsou čtyři jména z Ruhr-Universität Bochum, Bedran Karakoc, Tobias Funke, Jacopo Clark a Katharina Kohls. Bližší popis chyby nad rámec té jedné věty zatím k dispozici není.

Privilegovaná pozice v síti není nic vzácného

Ten obrat zní akademicky, ale popisuje běžnou situaci. Je to kdokoli, kdo sedí na cestě mezi telefonem a druhým koncem spojení: provozovatel Wi-Fi v kavárně nebo na letišti, kdo ovládá domácí router, poskytovatel připojení, útočník s podvrženou přístupovou stanicí. Takový člověk provoz vidí a může do něj sahat.

IPsec je přesně ta vrstva, která tohle má vyřešit. Data mezi telefonem a protějškem šifruje a ověřuje, takže by dohled nad kabelem nebo nad éterem sám o sobě neměl útočníkovi dát nic použitelného. Když jde ověření obejít, ta ochrana se ztrácí a odposlech je zpátky ve hře.

Kde se IPsec v telefonu vlastně bere

Nejznámější je firemní VPN. Druhé místo je méně vidět a přitom ho má zapnuté spousta lidí, kteří o něm nevědí: volání přes Wi-Fi. Telefon si při něm staví soustavu tunelů IPsec z místní sítě až do jádra operátorovy sítě, a to přes bránu ePDG obrácenou do internetu. Tunel se sjednává ve dvou fázích protokolu IKE: v první se dohodne šifra a vymění klíč, ve druhé, už chráněné tou první, proběhne ověření. Popisuje to práce z konference USENIX Security 2024, která tehdy u třinácti operátorů našla shodnou sadu deseti soukromých klíčů sdílenou napříč sítěmi.

Jestli se opravená chyba týká zrovna téhle cesty, Apple neříká. V přehledu záplat neuvádí ani funkci, ani protokolovou fázi, a víc než jméno komponenty se z něj vyčíst nedá.

Pozornost si vzala jiná položka

Server The Register, který sadu záplat rozebral den po vydání, dal na první místo CVE-2026-65346. Je to přetečení celého čísla v ImageIO, tedy v knihovně, kterou systém dekóduje obrázky, a zpracování obrázku po něm může skončit spuštěním cizího kódu. Ohlásil ji Nik Tsytsarkin z Meta Red Team X.

Adam Boynton z firmy Jamf, kterého The Register cituje, k tomu připomíná, že chyby v parsování obrázků bývaly nosičem spywaru, který si nežádá jediné klepnutí oběti. Server jmenuje FORCEDENTRY, kterým se do iPhonů dostával Pegasus od NSO Group, a Operation Triangulation. Na otázku, jestli Apple o zneužití nové chyby ví, firma podle serveru hned neodpověděla. Chybu v Telephony pak Boynton označuje za vzácnější a pro firmy, které stojí na spojení přes IPsec, o to vážnější.

Starší iPhony dostaly jinou dávku

Téhož dne vyšel iOS 18.7.10 pro iPhone XS, XS Max, XR a iPad sedmé generace, tedy pro přístroje, které na iOS 26 nedosáhnou. Jeho seznam je delší, osmatřicet záznamů CVE, a Apple u něj poznamenává, že jde o opravy, které se poprvé objevily v betách iOS 26.6 a 27. Položka z komponenty Telephony v něm ale není. Apple ji uvádí jen pro iPhone 11 a novější, takže se starších přístrojů netýká.

Koncem července opravil iOS 26.6 šestaosmdesát chyb a většinu z nich měl iPhone společných s Macem. Srpnová dávka je proti tomu drobná a instaluje se stejně, v Nastavení pod položkou Obecné a Aktualizace softwaru.