Apple Patch Celah CoreGraphics yang Dieksploitasi
Apple merilis pembaruan keamanan untuk menambal kerentanan pada versi lama iOS, iPadOS, dan macOS yang menurut perusahaan kemungkinan telah dieksploitasi dalam serangan bertarget. Kerentanan yang dilacak sebagai CVE-2026-86950 itu berupa out-of-bounds write pada komponen CoreGraphics dan dapat berujung pada eksekusi kode arbitrer ketika perangkat memproses file yang dibuat secara berbahaya.
Out-of-Bounds Write di Jantung Grafis Apple
CoreGraphics adalah kerangka grafis inti Apple yang menangani rendering, termasuk penguraian (parsing) berkas PDF dan gambar. Karena itu, jalur serangnya bersifat lokal namun tetap berbahaya: cukup dengan memancing korban membuka dokumen atau gambar yang dirancang khusus agar memori ditulis di luar batas buffer yang dialokasikan. Kesalahan tipe out-of-bounds write semacam ini dapat merusak struktur data di memori dan, dalam kondisi tertentu, dibajak menjadi eksekusi kode arbitrer.
Apple menyatakan masalah ini telah diatasi dengan pemeriksaan batas (bounds checking) yang lebih baik. Perusahaan tidak mengungkapkan detail teknis mengenai mekanisme eksploitasi, tidak menyebutkan skor CVSS, dan tidak merinci bagaimana penyerang menjangkau korban.
Versi yang Sudah Diperbaiki
Dalam pengumumannya, Apple menyebut perangkat dan versi sistem operasi yang telah menerima perbaikan:
iOS 26.7.1 dan iPadOS 26.7.1 untuk iPhone 11 dan versi setelahnya, iPad Pro 12,9 inci generasi ke-3 dan setelahnya, iPad Pro 11 inci generasi ke-1 dan setelahnya, iPad Air generasi ke-3 dan setelahnya, iPad generasi ke-8 dan setelahnya, serta iPad mini generasi ke-5 dan setelahnya.
macOS Tahoe 26.7.1 untuk Mac yang menjalankan macOS Tahoe, dan macOS Sequoia 15.8.1 untuk Mac yang menjalankan macOS Sequoia.
Perlu dicatat, daftar resmi yang dipublikasikan hanya mencakup iOS, iPadOS, dan macOS. Tidak ada tvOS, watchOS, maupun visionOS yang disebut dalam pembaruan kali ini, dan Apple juga tidak menyebut versi macOS lain di luar Tahoe dan Sequoia. Pengguna perangkat yang tidak masuk daftar tersebut belum tentu aman — bisa jadi perangkatnya belum menerima patch, atau memang tidak terdampak. Karena itu, memeriksa langsung menu pembaruan perangkat tetap langkah paling pasti.
Apple Konfirmasi, tapi Bungkam soal Detail
Apple mengonfirmasi mengetahui adanya laporan eksploitasi. Perusahaan menyebut serangan itu sangat canggih dan menyasar individu tertentu, bukan kampanye eksploitasi massal. Meski demikian, Apple tidak memberi keterangan tentang berapa banyak individu yang menjadi target, apakah ada upaya yang berhasil, atau kapan eksploitasi CVE-2026-86950 pertama kali terjadi.
“Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27.”
— Apple, dalam pengumuman pembaruan keamanannya
Frasa “versi iOS sebelum iOS 27” menunjukkan bahwa eksploitasi berlangsung pada perangkat yang belum menjalankan iOS 27, dan patch tersedia dalam bentuk pembaruan minor pada jalur iOS 26.
Dikreditkan ke Meta Product Security
Temuan ini tidak datang dari riset internal Apple. Perusahaan mengkreditkan Meta Product Security sebagai pihak yang menemukan dan melaporkan kerentanan tersebut. Keterlibatan tim keamanan raksasa media sosial ini menunjukkan celah CoreGraphics ditemukan melalui riset keamanan ofensif, bukan lewat insiden yang menimpa pengguna biasa.
Preseden: dyld yang Dipersenjatai Februari Lalu
Pola ini bukan yang pertama di tahun 2026. Pada Februari tahun ini, Apple menambal masalah memory corruption pada komponen dyld yang dilacak sebagai CVE-2026-20700 dengan skor CVSS 7,8. Saat itu pun Apple menyatakan kerentanan tersebut telah dipersenjatai dalam serangan siber yang canggih. Dua kasus ini menegaskan bahwa rantai pasok komponen inti sistem operasi Apple masih menjadi buruan aktor ancaman yang punya sumber daya besar dan bersedia menembak sasaran spesifik.
Rekomendasi Update
Langkah mitigasi paling langsung adalah memperbarui perangkat ke versi yang sudah ditambal: iOS 26.7.1 atau iPadOS 26.7.1 untuk iPhone dan iPad yang masuk daftar, serta macOS Tahoe 26.7.1 atau macOS Sequoia 15.8.1 untuk Mac. Pembaruan dapat dipasang lewat menu Pengaturan, lalu Umum, dan Pembaruan Perangkat Lunak; pengguna Mac dapat memakai menu System Settings.
Bagi tim keamanan dan admin TI, prioritas sebaiknya diberikan pada perangkat milik eksekutif, jurnalis, aktivis, dan staf dengan akses istimewa — kelompok yang paling sering menjadi sasaran serangan bertarget semacam ini. Menunda pembaruan dengan alasan uji kompatibilitas wajar dilakukan, tetapi jendela waktunya sebaiknya dipersempit mengingat status kerentanan yang sudah dieksploitasi.
Apple juga tidak menyebutkan indikator kompromi (IoC) apa pun dalam pengumumannya, sehingga tim keamanan belum memiliki tanda-tanda teknis untuk berburu jejak eksploitasi di lingkungan mereka sendiri.
