Apple устранила две уязвимости нулевого дня, которые использовались в атаках на iPhone

Компания Apple выпустила экстренные обновления безопасности, устраняющие две уязвимости нулевого дня, которые использовались в рамках «сложной целенаправленной атаки» на определенные целевые устройства iPhone.

Уязвимости были обнаружены в модулях CoreAudio (CVE-2025-31200) и RPAC (CVE-2025-31201). Обе проблемы безопасности затрагивают iOS, macOS, tvOS, iPadOS и visionOS.

В бюллетени по безопасности Apple отмечается:

Apple получила информацию, что эта уязвимость могла быть использована в крайне сложной целевой атаке на отдельных пользователей iOS.

Уязвимость CVE-2025-31200 в CoreAudio была обнаружена Apple совместно с командой анализа угроз Google. Ее можно использовать для удаленного выполнения кода на устройстве за счет обработки вредоносного аудиопотока в специально сформированном медиафайле.

Вторая исправленная уязвимость с идентификатором CVE-2025-31201 обнаружена самой Apple. Она затрагивает RPAC и позволяет злоумышленникам с правами на чтение или запись обходить Pointer Authentication (PAC) — механизм безопасности iOS, предназначенный для защиты от уязвимостей, связанных с памятью.

Apple пока не раскрыла подробности о способах эксплуатации этих уязвимостей.

Обе уязвимости были устранены в следующих версиях систем:

• iOS 18.4.1 (22E252)
• iPadOS 18.4.1 (22E252)
• macOS 15.4.1 (24E263)
• tvOS 18.4.1 (22L261)
• visionOS 2.4.1 (22O251)

Список устройств, подверженных этим уязвимостям, довольно обширен и включает как старые, так и новые модели:

• iPhone XS и новее
• iPad Pro 13", iPad Pro 13.9" (3-го поколения и новее), iPad Pro 11" (1-го поколения и новее), iPad Air (3-го поколения и новее), iPad 7-го поколения и новее, iPad mini 5-го поколения и новее
• Устройства на macOS Sequoia
• Apple TV HD и Apple TV 4K (все модели)
• Apple Vision Pro

Хотя данные уязвимости эксплуатировались в строго направленных атаках, всем пользователям настоятельно рекомендуется как можно скорее установить обновления.

С учетом этих двух уязвимостей, Apple с начала года уже устранила пять уязвимостей нулевого дня: первая была исправлена в январе (CVE-2025-24085), вторая — в феврале (CVE-2025-24200), третья — в марте (CVE-2025-24201).