Apple phát hành 11 bản cập nhật bảo mật, đưa bản vá lỗi bị khai thác đến các iPhone đời cũ

iPhone đời cũ được vá lỗi trong các cuộc tấn công có chủ đích

Apple phát hành 11 bản cập nhật bảo mật vào ngày 26 tháng 10 năm 2026, trong đó có bản vá cho một lỗi đồ họa đã bị khai thác, ảnh hưởng đến iPhone XS, iPhone XS Max, iPhone XR và iPad thế hệ thứ bảy. Các bản phát hành cũng xử lý hàng trăm lỗ hổng trên những mẫu iPhone, iPad, máy Mac, Apple Watch, Apple TV, kính Vision Pro và Safari mới hơn.

Diễn biến cấp bách nhất đối với chủ sở hữu các thiết bị đời cũ này là iOS 18.7.11 và iPadOS 18.7.11. Cả hai đều khắc phục CVE-2026-86950, một lỗ hổng trong CoreGraphics mà Apple cho biết có thể đã bị lợi dụng trong các cuộc tấn công có chủ đích cao nhằm vào những người dùng phiên bản cũ hơn iOS 27. Việc xử lý một tệp được tạo đặc biệt có thể cho phép kẻ tấn công chạy mã trên thiết bị bị ảnh hưởng.

Apple đã khắc phục lỗ hổng này trong một số phiên bản hệ điều hành mới hơn vào ngày 28 tháng 9. Bản cập nhật tháng 10 mở rộng khả năng bảo vệ sang phần cứng đời cũ thông qua quy trình gọi là backporting: đưa bản sửa lỗi bảo mật về phiên bản phần mềm cũ thay vì yêu cầu người dùng chuyển sang hệ điều hành mới nhất.

Một biện pháp bảo mật riêng liên quan đến các chứng thư bị xâm phạm của tổ chức cấp chứng thư Ấn Độ eMudhra. Apple đã tự động chặn các chứng thư web bị ảnh hưởng trong Safari, Mail và các ứng dụng sử dụng bộ khung mạng và bảo mật của hãng. Một số công cụ dòng lệnh trên máy Mac vẫn cần được xử lý vì chúng dùng một tệp khác để xác định những chứng thư được tin cậy.

Apple phát hành những gì và các con số được tính ra sao

Danh sách bản phát hành bảo mật của Apple ghi ngày phát hành của cả 11 bản cập nhật là 26 tháng 10. Các bản cập nhật bao gồm ba thế hệ phần mềm iPhone và iPad, ba hệ điều hành Mac, hai nhánh phần mềm Apple TV, watchOS, visionOS và Safari.

Số lượng lỗ hổng được công bố là:

• iOS 27.2 và iPadOS 27.2: 163.
• iOS 26.7.2 và iPadOS 26.7.2: 134.
• iOS 18.7.11 và iPadOS 18.7.11: ba.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: không có mục CVE được công bố.

Các con số này cộng lại thành 1.265 mục lỗ hổng trong các bản phát hành, đại diện cho ít nhất 329 lỗi riêng biệt. Một lỗ hổng có thể xuất hiện trong nhiều bản cập nhật vì các sản phẩm Apple dùng chung những thành phần phần mềm. Nếu chỉ xét iOS và macOS 27.2, có 286 lỗ hổng riêng biệt: 163 cộng với 263, trong đó khoảng 140 lỗi xuất hiện ở cả hai.

Vì sao bản vá CoreGraphics quan trọng

CoreGraphics xử lý các tác vụ như vẽ văn bản và hiển thị hình ảnh. CVE-2026-86950 là lỗi ghi vượt giới hạn bộ nhớ, tức phần mềm có thể ghi thông tin ra ngoài vùng bộ nhớ được dành riêng cho nó. Kẻ tấn công có thể lợi dụng lỗi này để can thiệp vào chương trình hoặc khiến chương trình thực thi các chỉ thị do kẻ tấn công lựa chọn.

Nhóm Bảo mật Sản phẩm Meta phát hiện lỗ hổng. Apple, công ty chịu trách nhiệm về các hệ điều hành bị ảnh hưởng, mô tả cảnh báo về việc khai thác trong thông báo bảo mật:

Apple biết về một báo cáo cho rằng vấn đề này có thể đã bị khai thác trong một cuộc tấn công cực kỳ tinh vi nhằm vào một số cá nhân cụ thể trên các phiên bản iOS trước iOS 27.

Apple cũng mô tả tác động kỹ thuật và cách khắc phục:

Việc xử lý một tệp được tạo có chủ đích để gây hại có thể dẫn đến thực thi mã tùy ý. Lỗi ghi vượt giới hạn bộ nhớ đã được khắc phục bằng cách cải thiện việc kiểm tra giới hạn.

Kiểm tra giới hạn là việc xác minh chương trình không vượt ra ngoài vùng bộ nhớ được cấp cho nó. Lỗ hổng được gọi là zero-day vì kẻ tấn công đã sử dụng nó trước khi có bản vá. Apple cho biết chưa ghi nhận trường hợp khai thác nào khác trong số các lỗ hổng thuộc những bản phát hành tháng 10.

Bản vá được đưa vào các nhánh phần mềm khác nhau trong vài tuần:

• Ngày 28 tháng 9: Apple phát hành bản vá trong iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 và macOS Sequoia 15.8.1.
• Ngày 29 tháng 9: Cơ quan chức năng Mỹ bổ sung CVE-2026-86950 vào danh mục Lỗ hổng đã bị khai thác được ghi nhận.
• Ngày 26 tháng 10: iOS 18.7.11 và iPadOS 18.7.11 đưa bản vá đến các thiết bị đời cũ mà Apple liệt kê.

Ngày phát hành tháng 9 và tháng 10 cách nhau 28 ngày. Với người dùng iPhone XS, XS Max, XR hoặc iPad thế hệ thứ bảy, việc cần làm là cài đặt bản cập nhật được cung cấp cho thiết bị đó. Apple chưa công khai danh tính những người bị nhắm mục tiêu hay mô tả cách các tệp độc hại được gửi đến họ.

Ba bản vá bảo vệ thiết bị đời cũ

iOS 18.7.11 và iPadOS 18.7.11 có ba bản vá được liệt kê, trong đó có bản sửa lỗi CoreGraphics. Hai bản còn lại xử lý nguy cơ lộ dữ liệu nhạy cảm và truy cập camera khi chưa được phép.

CVE-2026-65339 ảnh hưởng đến bộ khung Audio và có thể làm lộ thông tin nhạy cảm của người dùng. CVE-2026-86990 ảnh hưởng đến CoreMedia và có thể cho phép ứng dụng độc hại truy cập camera khi chưa được người dùng cho phép. CoreMedia là một phần trong phần mềm Apple dùng để quản lý âm thanh và video.

Apple liệt kê iPhone XS, iPhone XS Max, iPhone XR và iPad thế hệ thứ bảy là những thiết bị đủ điều kiện nhận các bản phát hành này. Số bản dựng là 22H384. Mã định danh này giúp người dùng và quản trị viên có thêm cách kiểm tra phiên bản phần mềm đang cài đặt.

Ba bản vá cho thấy vì sao một bản cập nhật nhỏ vẫn cần được chú ý kịp thời. Với các thiết bị này, bản phát hành kết hợp sửa lỗi đã bị khai thác với những thay đổi nhằm bảo vệ thông tin riêng tư và quyền truy cập camera. Một bản cập nhật không cần có hàng trăm bản vá mới có thể xử lý các rủi ro nghiêm trọng.

iPhone và iPad mới hơn nhận các bản vá trên diện rộng

Thông báo bảo mật iOS của Apple mô tả các bản vá thành phần trong iOS 27.2 và iPadOS 27.2, bao gồm CoreGraphics, CoreMedia, ImageIO và kernel. Kernel là phần trung tâm của hệ điều hành, quản lý phần cứng, bộ nhớ và quyền truy cập giữa các chương trình.

163 lỗ hổng bao gồm các vấn đề trong WebKit, công cụ kết xuất web của Apple, cùng những thành phần xử lý hình ảnh, phông chữ, tài liệu PDF, âm thanh và video. Một số lỗi có thể cho phép thực thi mã khi thiết bị xử lý nội dung độc hại. Những lỗi khác có thể giúp ứng dụng lấy được dữ liệu nhạy cảm hoặc vượt qua các cài đặt quyền riêng tư.

Các bản phát hành cũng khắc phục CVE-2026-86987, một lỗ hổng trong Apple Intelligence có thể cho phép kẻ tấn công từ xa truy cập thông tin nhạy cảm trên các mẫu iPhone và iPad được hỗ trợ. Những bản vá khác xử lý việc thoát khỏi sandbox WebContent, một môi trường hạn chế nhằm ngăn nội dung web truy cập phần còn lại của hệ thống.

Các bản sửa lỗi bổ sung liên quan đến hành vi giả mạo máy chủ xác thực Kerberos và khả năng kẻ tấn công ở gần truy cập mạng Thread. Kerberos giúp hệ thống xác minh danh tính, còn Thread kết nối các thiết bị tương thích, bao gồm thiết bị nhà thông minh.

iOS 27.2 hỗ trợ iPhone 11 trở lên. iPadOS 27.2 hỗ trợ iPad Pro 12,9 inch thế hệ thứ tư, iPad Pro 11 inch thế hệ thứ hai, iPad Air thế hệ thứ tư, iPad thế hệ thứ chín và iPad mini thế hệ thứ sáu, cùng các mẫu mới hơn trong những dòng này. Nhánh 26.7.2 cũng hỗ trợ một số iPad đời cũ hơn, bao gồm iPad thế hệ thứ tám, iPad Air thế hệ thứ ba và iPad mini thế hệ thứ năm.

Bản vá Mac xử lý truy cập từ xa và các quyền kiểm soát hệ thống

macOS Golden Gate 27.2 có số lượng lỗ hổng riêng lẻ lớn nhất, với 263 lỗi. Các bản vá bao gồm hơn một chục lỗi có thể cho phép ứng dụng giành quyền truy cập root, cấp quyền kiểm soát cao nhất đối với máy Mac.

Apple cũng khắc phục các lỗi thoát sandbox, vượt qua Gatekeeper và hỏng bộ nhớ trong các thành phần xử lý hệ thống tệp và ảnh đĩa. Gatekeeper kiểm tra phần mềm tải xuống trước khi chạy, giúp người dùng tránh các ứng dụng không đáng tin cậy.

Chia sẻ màn hình, Quản lý từ xa và SMB, một giao thức chia sẻ tệp qua mạng, cũng được vá lỗi. Một số lỗ hổng có thể bị khai thác từ xa hoặc qua mạng cục bộ. Lỗi trong Quản lý từ xa có thể cho phép kẻ tấn công từ xa thực thi mã, khiến bản cập nhật đặc biệt đáng lưu ý với các tổ chức quản lý máy Mac qua mạng.

macOS Tahoe 26.7.2 xử lý 213 lỗ hổng, còn macOS Sequoia 15.8.2 xử lý 197 lỗ hổng. Bản phát hành Tahoe bao gồm CVE-2026-43736, một lỗi Siri có thể cho phép ứng dụng truy cập thông tin nhạy cảm của người dùng.

Safari 27.2 được cung cấp riêng cho macOS Sequoia và macOS Tahoe, xử lý 33 lỗ hổng. Việc phát hành riêng giúp người dùng vẫn đang sử dụng các hệ điều hành Mac này cập nhật trình duyệt bên cạnh những bản vá hệ thống tương ứng.

Apple Watch, Apple TV và kính thực tế hỗn hợp cũng được cập nhật

Các bản phát hành tháng 10 của Apple không chỉ dành cho điện thoại và máy tính. watchOS 27.2 khắc phục 62 lỗ hổng và hỗ trợ Apple Watch Series 9 trở lên. visionOS 27.2 khắc phục 125 lỗ hổng và được liệt kê cho mọi mẫu Apple Vision Pro.

tvOS 27.2 xử lý 72 lỗ hổng trên Apple TV 4K thế hệ thứ hai trở lên. Apple TV HD và Apple TV 4K thế hệ đầu tiên thay vào đó nhận tvOS 26.6.1, phiên bản được Apple ghi là không có mục CVE được công bố.

Mã CVE là định danh công khai dùng để theo dõi các lỗ hổng bảo mật. Danh sách của Apple tách riêng khả năng tương thích phần cứng với các mã định danh này, vì vậy việc kiểm tra chính xác mẫu thiết bị rất quan trọng để xác định bản phát hành phù hợp. Trong một gia đình hoặc nơi làm việc, chỉ cập nhật điện thoại sẽ khiến đồng hồ, TV, kính và máy tính vẫn chạy phần mềm hiện có.

Vì sao Apple chặn chứng thư eMudhra

Thông báo bảo mật về eMudhra của Apple, đăng ngày 23 tháng 10, mô tả một vấn đề riêng liên quan đến khóa riêng của tám tổ chức cấp chứng thư trung gian do eMudhra vận hành. Sáu tổ chức cấp chứng thư TLS cho các trang web, còn hai tổ chức cấp chứng thư dùng để ký phần mềm.

Chứng thư trang web giống như giấy tờ nhận dạng. Một tổ chức cấp chứng thư ký chứng thư đó để phần mềm có thể xác minh kết nối đúng là với trang web dự kiến. Người nắm khóa riêng của một tổ chức cấp chứng thư trung gian có thể tạo chứng thư trông như hợp lệ cho các trang web khác.

Các khóa eMudhra được tạo với lượng ngẫu nhiên quá thấp, khiến có thể tính ra chúng từ các chứng thư công khai. Nhà nghiên cứu bảo mật Scott Helme cho biết ông khôi phục được cả tám khóa trong chưa đầy một giây. eMudhra quy nguyên nhân điểm yếu cho sự cố trong quá trình tạo khóa ngày 30 tháng 4 năm 2025, đồng thời cho biết chỉ một tổ chức trung gian bị ảnh hưởng được triển khai trong môi trường thực tế và không tổ chức nào cấp chứng thư cho người dùng cuối.

Một nhà nghiên cứu báo cáo vấn đề vào ngày 17 tháng 10. Apple bắt đầu chặn 12 chứng thư TLS bị ảnh hưởng vào ngày 19 tháng 10, sau đó chặn thêm emSign ECC Root CA - G3 vào ngày 23 tháng 10. Có 12 chứng thư TLS vì mỗi trong số sáu tổ chức TLS bị ảnh hưởng có hai phiên bản chứng thư, kết nối với các gốc tin cậy khác nhau. eMudhra và Sectigo đã thu hồi các chứng thư bị ảnh hưởng.

Chrome, Firefox và Android cũng áp dụng biện pháp chặn, trong khi các dự án phần mềm và nhà cung cấp hệ điều hành phát hành thay đổi cho kho chứng thư riêng. Chưa có vụ khai thác độc hại nào sử dụng khóa eMudhra được xác nhận. Các biện pháp chặn tự động của Apple có hiệu lực với Safari, Mail và ứng dụng sử dụng bộ khung mạng và bảo mật của hãng mà người dùng không cần cài bản cập nhật hệ điều hành.

Một số công cụ Mac vẫn cần biện pháp xử lý riêng

Quản trị viên và nhà phát triển Mac còn phải lưu ý một vấn đề phạm vi hẹp hơn. Một số công cụ đi kèm macOS hoặc Xcode Command Line Tools, bao gồm curl, git, python3, ruby, perl và openssl, kiểm tra chứng thư dựa trên /etc/ssl/cert.pem. Với các chuỗi chứng thư được tin cậy thông qua tệp này, những công cụ đó không kiểm tra danh sách chặn chứng thư hoặc trạng thái thu hồi của Apple.

Apple cho biết một bản cập nhật phần mềm trong tương lai sẽ thay đổi tệp này, nhưng chưa đưa ra ngày phát hành. Quản trị viên muốn xử lý sớm có thể làm theo hướng dẫn của Apple để sao lưu tệp và xóa các chứng thư gốc liên quan.

Xóa emSign ECC Root CA - G3 sẽ chặn một đường dẫn tin cậy. Thông báo của Apple giải thích rằng các chứng thư được Sectigo ký chéo vẫn có thể được chấp nhận thông qua AAA Certificate Services, do đó quản trị viên có thể tùy chọn xóa cả chứng thư gốc đó. Việc xóa chứng thư gốc ảnh hưởng đến mọi công cụ dựa vào tệp này và có thể làm gián đoạn kết nối đến các trang web hợp pháp sử dụng những chứng thư khác nằm dưới các chứng thư gốc đó.

Một bản cập nhật macOS sau này có thể thay thế /etc/ssl/cert.pem, vì vậy quản trị viên áp dụng biện pháp tạm thời cần kiểm tra tệp sau mỗi lần cập nhật cho đến khi thay đổi lâu dài của Apple được triển khai. Các ứng dụng có danh sách chứng thư riêng cần được nhà phát triển xử lý riêng.

Phần lớn chủ sở hữu thiết bị Apple không cần chỉnh sửa tệp chứng thư. Việc trước mắt là cài đặt các bản cập nhật bảo mật phù hợp, còn các tổ chức nên kiểm tra thêm dịch vụ quản lý từ xa, công cụ dành cho nhà phát triển và ứng dụng tự duy trì danh sách tin cậy. Apple ghi nhận các công cụ AI và nhóm nghiên cứu đã phát hiện một số lỗi trong các bản phát hành trên diện rộng, cho thấy hoạt động kiểm thử bảo mật đang tìm ra vấn đề đồng thời trên nhiều thành phần dùng chung.

Điểm chính

• Apple phát hành 11 bản cập nhật bảo mật vào ngày 26 tháng 10 năm 2026, bao gồm các hệ điều hành chính và Safari.
• iOS 18.7.11 và iPadOS 18.7.11 đưa bản vá CoreGraphics đã bị khai thác đến iPhone XS, XS Max, XR và iPad thế hệ thứ bảy.
• Các bản phát hành có 1.265 mục lỗ hổng, đại diện cho ít nhất 329 lỗi riêng biệt trong các thành phần phần mềm dùng chung.
• Bản vá Mac xử lý lỗ hổng truy cập từ xa, trong khi các bản sửa lỗi khác bảo vệ dữ liệu nhạy cảm và quyền truy cập camera.
• Apple tự động chặn các chứng thư web eMudhra bị xâm phạm trong Safari, Mail và ứng dụng sử dụng bộ khung bảo mật của hãng.
• Một số công cụ dòng lệnh trên Mac cần bản cập nhật tệp chứng thư trong tương lai hoặc biện pháp xử lý tùy chọn dành cho quản trị viên.