iPhone ve Mac’lere Apple güvenlik güncellemesi

Apple, 26 Ekim’de iPhone, iPad ve Mac’leri ilgilendiren toplu bir güvenlik güncellemesi yayınladı. iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 ve Safari 27.2 aynı gün çıktı. Şirketin yayınladığı güvenlik belgelerinde iOS 27.2 için 163, macOS Golden Gate 27.2 için 263 ayrı CVE numarası listeleniyor.

Açıkların büyük bölümü bellek yönetimi hatalarından oluşuyor. Bu tür hatalar, kötü hazırlanmış bir web sayfası ya da dosya açıldığında uygulamanın çökmesine veya saldırganın cihazda kod çalıştırmasına yol açabiliyor.

Web’den gelen kod çalıştırma riski

Güncellemenin en kritik kısmı WebKit’te kapatılan use-after-free açıkları. CVE-2026-112623, CVE-2026-112637 ve CVE-2026-112655 için Apple, kötü niyetli hazırlanmış web içeriğinin işlenmesinin rastgele kod çalıştırmaya yol açabileceğini belirtiyor. NVD bu açıklara 8.8 puan veriyor. Aynı sorunlar iOS 26.7.2, iPadOS 26.7.2, macOS, tvOS, watchOS ve visionOS 27.2 sürümlerinde de giderildi; iOS 26.7.2 belgesinde CVE-2026-112626, CVE-2026-112651 ve CVE-2026-112659 gibi benzer açıklar yer alıyor.

Cisco Talos araştırmacıları Claudio Bozzato ve Francesco Benvenuto’nun bildirdiği CVE-2026-112690 ile uzaktaki bir saldırgan WebContent kum havuzundan çıkabiliyordu. iOS ve macOS sürümlerinde düzeltilen bu açık, tarayıcı üzerinden gelen içeriğin sistemin geri kalanına erişmesini engelliyordu. Listede bunun dışında kullanıcıyı doğrudan ilgilendiren üç kalem daha var: CVE-2026-84493 ile bir uygulama izin istemeden Bluetooth’a erişebiliyordu, CVE-2026-112612 ile fiziksel erişimi olan bir saldırgan eşleştirilmiş cihazda dosya okuyup yazabiliyordu, CVE-2026-112622 ile radyo menzilindeki bir saldırgan Wi-Fi üzerinden sistemi çökertebiliyordu.

Mac’lerde root yetkisi ve Gatekeeper

Masaüstü tarafında en yüksek riskli hata CVE-2026-112438. Apple’ın açıklamasına göre yetkisiz bir saldırgan bu açık üzerinden root olarak kod çalıştırabiliyordu. Hata macOS Golden Gate 27.2, macOS Tahoe 26.7.2 ve macOS Sequoia 15.8.2 sürümlerinde kapatıldı ve NVD puanı 8.8.

Bunun yanında iki Gatekeeper atlatma açığı giderildi: CVE-2026-86937 ile bir uygulama, CVE-2026-112568 ile kötü hazırlanmış bir dosya Gatekeeper kontrolünü atlayabiliyordu. APFS tarafında disk imajı işleyen üç açık (CVE-2026-84496, CVE-2026-112536, CVE-2026-112525) çekirdek belleğinde okuma ve yazmaya, Apple Neural Engine ile AppleAVD’deki hatalar kötü hazırlanmış video dosyasıyla bellek bozulmasına yol açabiliyordu.

Hangi cihaza hangi sürüm kurulmalı

• iPhone 11 ve sonrası, yeni iPad’ler: Ayarlar > Genel > Yazılım Güncellemesi yolundan iOS 27.2 / iPadOS 27.2.
• iPhone XS, XS Max, XR ve iPad 7. nesil: iOS 18.7.11 ve iPadOS 18.7.11 sürümü yayınlandı; bu cihazlar 27.x sürümünü almıyor.
• Mac: Sistem Ayarları > Genel > Yazılım Güncellemesi bölümünde Golden Gate 27.2, Tahoe 26.7.2 ya da Sequoia 15.8.2 görünür.
• Safari: macOS Sequoia ve Tahoe kullananlar için Safari 27.2 ayrı bir güncelleme olarak çıktı.
• Diğer cihazlar: Apple TV 4K (2. nesil ve sonrası) tvOS 27.2, Apple Watch Series 9 ve sonrası watchOS 27.2, Vision Pro visionOS 27.2 alıyor.

Apple duyurularında bu açıkların aktif olarak sömürüldüğüne dair bir bilgi yer almıyor, CISA’nın KEV listesinde de bu CVE’ler yok. Yine de WebKit açıkları sadece bir bağlantıya tıklamakla tetiklenebildiği için güncellemeyi bekletmemek gerekiyor. Otomatik güncelleme açık olsa bile Safari ve macOS için elle kontrol etmekte fayda var.

Kaynak: Apple Güvenlik Duyuruları · NVD