iOS 27.2.1 dokuz açığı kapattı, iMessage grup sohbetine davetsiz katılım ve Bluetooth eşleşme açıkları dahil
Apple 9 Kasım'da iOS ve iPadOS 27.2.1 ile dokuz açık için patch yayımladı. Uzaktaki bir saldırganın iMessage grup sohbetine katılıp mesajları almasına ve yakındaki bir cihazın kullanıcı etkileşimi olmadan eşleşmesine yol açabilen açıklar listede; Apple istismar bildirmedi.
CVE-2026-113961, CVE-2026-113960, CVE-2026-113965
Apple, 9 Kasım'da iOS ve iPadOS 27.2.1 güncellemesini yayımladı. Güvenlik bülteninde dokuz CVE var. En dikkat çekici iki açık Messages bileşeninde: CVE-2026-113961, uzaktaki bir saldırganın bir iMessage grup sohbetine katılıp mesajlarını almasına yol açabiliyor. CVE-2026-113960 ise gruba sonradan eklenen bir kişinin, katılmadan önce gönderilmiş mesajlara erişmesine imkân tanıyordu. Apple ikincisini açıklı kodu tamamen kaldırarak giderdi.
Diğer açıkların çoğu yakın mesafeden saldırıyla ilgili. CoreUtils'teki CVE-2026-113965 ve CVE-2026-113964, kötü niyetli bir Bluetooth cihazının kullanıcı etkileşimi olmadan eşleşme kurmasına yol açabiliyordu. Bluetooth'taki use-after-free (CVE-2026-113970) bellek bozulmasına neden olabiliyordu. AirPlay ve rapportd'deki açıklar ise eşleşme kodu denemelerindeki rate limit'in atlatılmasına izin veriyordu. Bültende ayrıca brotli kütüphanesindeki CVE-2026-111497 de var; bu açık daha önce PAN-OS haberimizde gündeme gelmişti. Apple açıklarının hiçbirinin saldırılarda kullanıldığını bildirmedi; CISA KEV kaydı da yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| iOS / iPadOS (iPhone 11 ve sonrası) | 27.2.1 öncesi 27.x | 27.2.1 |
| iOS / iPadOS (26 hattı) | Üretici bildirimindeki liste | 26.7.3 |
| iOS / iPadOS (iPhone XS, XS Max, XR, iPad 7. nesil) | Üretici bildirimindeki liste | 18.7.12 |
| macOS Golden Gate / macOS Tahoe | Üretici bildirimindeki liste | 27.2.1 / 26.7.3 |
| watchOS / visionOS | Üretici bildirimindeki liste | 27.2.1 |
Apple aynı gün iOS 26.7.3, iOS 18.7.12, macOS ve watchOS/visionOS 27.2.1 güncellemelerini de yayımladı. Bu sürümlerdeki CVE listesi için Apple'ın güvenlik sürümleri sayfasındaki ilgili bültenlere bakılmalı. Bir önceki güncelleme için iOS 27.2 haberimize bakabilirsiniz.
Beni etkiliyor mu?
- iPhone ve iPad'de sürümü Ayarlar › Genel › Hakkında ekranından kontrol edin. 27.2.1, 26.7.3 veya 18.7.12'nin altındaysanız etkilenirsiniz.
- Mac'te sürüm bilgisini salt okunur olarak görebilirsiniz:
sw_vers- MDM kullanan kurumlar, cihaz envanterinde işletim sistemi sürümü alanını filtreleyerek güncellenmemiş cihazları listeleyebilir.
Ne yapılmalı?
- iPhone ve iPad'leri Ayarlar › Genel › Yazılım Güncellemesi üzerinden 27.2.1'e (eski cihazlarda 26.7.3 veya 18.7.12'ye) güncelleyin; Mac, Apple Watch ve Vision Pro'yu da aynı gün yayımlanan sürümlere taşıyın.
- Güncelleme hemen yapılamıyorsa, kullanılmadığı zamanlarda Bluetooth'u kapalı tutmak ve bilinmeyen eşleşme isteklerini reddetmek yakın mesafe riskini azaltır.
- Hassas yazışmaların yürütüldüğü iMessage gruplarında üye listesini gözden geçirin; tanımadığınız bir katılımcı görürseniz gruptan çıkarın.
- Kurumsal ortamda MDM ile minimum işletim sistemi sürümü politikasını güncelleyin ve uyumsuz cihazları raporlayın; change management kaydına yayın tarihini ve hedef sürümü ekleyin.
