Apple phát hành iOS 26.7.1 nhằm vá khẩn cấp lỗ hổng CoreGraphics nguy hiểm trên iPhone

Apple vừa chính thức tung ra bản cập nhật iOS 26.7.1 nhằm vá một lỗ hổng bảo mật nghiêm trọng liên quan đến framework CoreGraphics. Phiên bản này được cung cấp riêng cho những thiết bị chưa nâng cấp lên hệ điều hành iOS 27, giúp người dùng ngăn chặn nguy cơ bị tin tặc tấn công từ xa.

Bản cập nhật iOS 26.7.1 tập trung vào bảo mật

Bản chất kỹ thuật của lỗ hổng CoreGraphics (CVE-2026-86950)

Lỗ hổng bảo mật được giải quyết trong bản cập nhật lần này mang mã định danh CVE-2026-86950, do đội ngũ Meta Product Security phát hiện và báo cáo trực tiếp cho Apple. Trọng tâm của vấn đề nằm ở framework CoreGraphics – thành phần cốt lõi phụ trách dựng hình ảnh 2D và xử lý giao diện đồ họa trên toàn bộ hệ sinh thái iOS.

Theo phân tích kỹ thuật, lỗi phát sinh do tình trạng ghi ngoài ranh giới bộ nhớ (out-of-bounds write). Khi hệ thống xử lý một tệp tin hình ảnh hoặc đồ họa được định dạng độc hại, trình biên giải không kiểm soát chặt chẽ dung lượng phân bổ, dẫn tới việc dữ liệu bị ghi đè vào các vùng nhớ liền kề. Điều này cho phép kẻ tấn công vượt qua hàng rào kiểm soát và thực thi mã tùy ý với đặc quyền của tiến trình đồ họa.

Để triệt tiêu mối đe dọa, Apple đã tái cấu trúc cơ chế kiểm tra ranh giới dữ liệu trong bản cập nhật iOS 26.7.1. Bằng việc giám sát nghiêm ngặt kích thước bộ đệm trước khi thao tác ghi bộ nhớ được thực thi, hệ điều hành sẽ từ chối tải bất kỳ tệp dữ liệu nào có dấu hiệu bất thường.

Apple tăng cường bảo mật trước các nguy cơ tấn công

Mức độ nguy hại và các kịch bản khai thác thực tế

Đáng chú ý, Apple xác nhận đã nhận được báo cáo chỉ ra rằng lỗ hổng CVE-2026-86950 có thể đã bị khai thác trong các cuộc tấn công có chủ đích. Những kẻ tấn công thường nhắm vào một nhóm người dùng cụ thể đang vận hành các thế hệ phần mềm cũ hơn iOS 27 nhằm đánh cắp thông tin nhạy cảm hoặc chiếm quyền kiểm soát máy.

Kỹ thuật khai thác thông qua định dạng hình ảnh đặc biệt nguy hiểm bởi người dùng có thể kích hoạt mã độc một cách thụ động. Chỉ cần thiết bị tải trước một ảnh xem nhanh qua tin nhắn, email hoặc trang web, tiến trình CoreGraphics đã có thể bị kích hoạt mà không đòi hỏi thao tác tương tác phức tạp nào từ phía nạn nhân.

Danh sách thiết bị hỗ trợ và giải pháp khắc phục

Bên cạnh iOS 26.7.1, Apple cũng phát hành phiên bản iPadOS tương ứng để bảo vệ người dùng máy tính bảng. Bản vá này tương thích với phần lớn các thiết bị phần cứng thế hệ cũ chưa hoặc không chuyển sang phiên bản 27.

Dù iOS 26.7.1 không mang đến sự đổi mới về mặt giao diện hay bổ sung các tính năng trải nghiệm, đây là bản vá mang tính sống còn đối với sự an toàn của thiết bị. Chuyên gia khuyến nghị toàn bộ người dùng đang duy trì hệ điều hành iOS 26 nên truy cập cài đặt phần mềm và tiến hành nâng cấp ngay lập tức để hạn chế tối đa nguy cơ bị xâm nhập.