Apple, 9 Kasım 2026’da yayımladığı güncellemelerle iMessage grup sohbetlerine sızmayı sağlayabilecek iki güvenlik açığını ve Bluetooth eşleştirme hatalarını kapattı. Yama paketi, iOS ve iPadOS 27.2.1 ile birlikte iOS 18.7.12, watchOS 26.6.1 ve diğer sürümleri kapsıyor.
Şirketin güvenlik notlarına göre en kritik başlıklardan biri, bir saldırganın uzaktan grup sohbetine katılmasına imkân verebilecek CVE-2026-113961 numaralı yetkilendirme açığı. Apple bu sorunu geliştirilmiş doğrulama ile giderdiğini belirtiyor. Aynı güncel notlarda, önceki mesajlara erişimle bağlantılı ikinci iMessage sorunu da yer alıyor; bu açık CVE-2026-113960 olarak izleniyor.
iMessage tarafında iki ayrı boşluk
Apple’ın yayımladığı teknik açıklamada, iMessage grubuna yetkisiz katılım sağlayabilecek açığın nasıl istismar edilebileceğine dair ayrıntı verilmedi. Şirket, açığın daha önce kullanılıp kullanılmadığını, saldırganın hangi önkoşulları sağlaması gerektiğini, grup üyelerinin bu şekilde katılan birini görüp görmeyeceğini ya da koruma için tüm üyelerin mi güncelleme yapması gerektiğini de açıklamadı.
iOS ve iPadOS 27.2.1 güvenlik duyurusu, bu iki iMessage açığının yanında Google’ın Brotli sıkıştırma kütüphanesindeki bir hatayı da düzeltiyor. CVE-2026-111497 olarak izlenen bu sorun, kod çözücüdeki out-of-bounds write hatası nedeniyle kötü amaçlı girdilerin bellek bozulmasına yol açabilecek bir senaryo yaratıyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Brotli açığını 27 Ekim’de Known Exploited Vulnerabilities kataloğuna eklemişti.
Apple’ın notlarında bu Brotli hatasına dönük aktif saldırı bilgisi paylaşılmadı. Kurum, etkilenen ürünün Google’ın Brotli bileşeni olduğunu ve farklı ürünlerin de bu bileşeni kullanabileceğini vurguluyor.
Bluetooth ve AirPlay için tüm paketlerde düzeltme
Apple’ın 9 Kasım’da dağıttığı dokuz güncellemenin tamamı Bluetooth ve AirPlay ile ilgili açıkları da kapatıyor. Bunlardan biri, saldırganın Bluetooth menzili içindeyse eşleştirme kodu deneme sınırını aşmasına izin verebilecek CVE-2026-113968. Aynı sınıftaki bir başka açık, bir saldırganın Bluetooth menzilinde bir cihazla kullanıcı etkileşimi olmadan eşleşme kurmasına izin verebilecek CVE-2026-113965.
Apple ayrıca CVE-2026-113964 için de yama yayımladı. Bu açık, Bluetooth menzili içindeki bir saldırganın eşleştirme kodu deneme sınırını aşarak cihaza kullanıcı etkileşimi olmadan bağlanabilmesine yol açabiliyor. CVE-2026-113970 ise Bluetooth menzilindeki bir saldırganın işlem belleğini bozmasına neden olabilecek use-after-free kusuru olarak tanımlanıyor.
iOS 18.7.12 ve watchOS 26.6.1 notlarında iMessage ya da Brotli düzeltmeleri yer almıyor. Apple, bu sürümlerdeki cihazların üç açık tarafından etkilenip etkilenmediğini belirtmedi; ayrıca hemen güncelleme yapamayanlar için bir geçici çözüm de paylaşmadı.
Apple’ın güncelleme listesine göre iOS ve iPadOS 27.2.1, iPhone 11 ve sonrası ile belirli iPad modellerine geliyor. iOS 18.7.12 ise iPhone XS, XS Max, XR ve 7. nesil iPad için yayımlandı. watchOS 26.6.1 güncellemesi Apple Watch Series 6, Series 7, Series 8, SE 2. nesil ve Ultra modellerini kapsıyor.
Apple’ın güvenlik sayfasındaki en güncel sürüm listesi, iOS ve iPadOS tarafında 27.2.1’in, watchOS tarafında ise 27.2.1’in en yeni sürüm olduğunu gösteriyor.
Kaynaklar
- About the security content of iOS 27.2.1 and iPadOS 27.2.1 – Apple Support (support.apple.com)
- Apple security releases – Apple Support (support.apple.com)
- About the security content of iOS 18.7.12 and iPadOS 18.7.12 – Apple Support (support.apple.com)
- About the security content of watchOS 26.6.1 – Apple Support (support.apple.com)