В уведомлении для пользователей iPhone и iPad компания сообщила:
Физическая атака может отключить режим ограничения USB на заблокированном устройстве.
Apple известно о том, что данная уязвимость могла быть использована в чрезвычайно сложной атаке против конкретных целевых лиц.
Режим ограничения USB — это функция безопасности (введенная почти семь лет назад в iOS 11.4.1), которая блокирует USB-аксессуары от установления соединения для передачи данных, если устройство было заблокировано более часа. Эта функция предназначена для того, чтобы предотвратить извлечение данных с заблокированных устройств iOS с помощью специализированного ПО, такого как GrayKey и Cellebrite, которое часто используется правоохранительными органами.
В ноябре Apple представила еще одну функцию безопасности, названную «перезагрузка при бездействии» (inactivity reboot), которая автоматически перезагружает iPhone после длительного простоя, повторно шифруя данные и усложняя их извлечение с помощью криминалистического ПО.
Уязвимость нулевого дня (идентифицированная как CVE-2025-24200, отчет предоставил Билл Марчак (Bill Marczak) из Citizen Lab) представляет собой проблему авторизации, исправленную в iOS 18.3.1, iPadOS 18.3.1 и iPadOS 17.7.5 с улучшенным управлением состоянием.
Список устройств, которые затрагивает данная уязвимость нулевого дня, включает:
- iPhone XS и новее,
- iPad Pro 13-дюймов, iPad Pro 12,9-дюймов 3-го поколения и новее, iPad Pro 11-дюймов 1-го поколения и новее, iPad Air 3-го поколения и новее, iPad 7-го поколения и новее, а также iPad mini 5-го поколения и новее,
- iPad Pro 12,9-дюймов 2-го поколения, iPad Pro 10,5-дюймов и iPad 6-го поколения.
Несмотря на то, что данная уязвимость была использована только в целевых атаках, настоятельно рекомендуется немедленно установить текущие обновления безопасности, чтобы предотвратить возможные попытки атак.
Обновление уже доступно для загрузки на совместимых моделях iPhone и iPad. Чтобы установить его, перейдите в Настройки > Основные > Обновление ПО.
Хотя Apple пока не предоставила дополнительной информации о реальном использовании уязвимости, исследователи безопасности из Citizen Lab неоднократно сообщали об уязвимостях нулевого дня, применяемых в целевых атаках шпионского ПО против лиц, находящихся под высоким риском, таких как журналисты, оппозиционные политики и диссиденты.
Citizen Lab также раскрыл две другие уязвимости нулевого дня (CVE-2023-41061 и CVE-2023-41064), которые Apple исправила в экстренных обновлениях безопасности в сентябре 2023 года. Эти уязвимости были использованы в составе цепочки эксплойтов без участия пользователя (под названием BLASTPASS) для заражения полностью обновленных iPhone коммерческим шпионским ПО Pegasus от NSO Group.
В январе Apple устранила первую в этом году уязвимость нулевого дня (CVE-2025-24085), зафиксированную как использованную в атаках против пользователей iPhone.
В 2024 году компания исправила шесть активно эксплуатируемых уязвимостей нулевого дня: одну в январе, две в
Угрозы безопасности
• Apple устраняет уязвимость нулевого дня, использованную в «чрезвычайно сложных» атаках
• AMD устранила уязвимость процессоров, позволявшую загружать вредоносные патчи микрокода
• «Доктор Веб» рассказал про самые опасные угрозы для Android
• ИИ-стартап DeepSeek допустил утечку данных: открытая база содержала историю чатов и ключи API
• Apple исправила первую в этом году активно эксплуатируемую уязвимость нулевого дня
• NVIDIA устранила уязвимости в драйверах графики, которые могли привести к утечке данных и компрометации системы