Pořád na iOS 16? Hackeři využívají chybu ze Safari z roku 2024 na starých iPhonech

Dne 4. listopadu 2026 přidala americká agentura Cybersecurity and Infrastructure Security Agency do svého katalogu známých zneužívaných zranitelností chybu CVE-2024-27834, bezpečnostní problém v Apple WebKitu. Americké federální agentury mají na opravu čas do 18. listopadu 2026. CISA uvádí postižený produkt jako Apple „Multiple Products“.

Chyba pochází z roku 2024. Apple ji opravil 13. května 2024 v iOS 17.5 a Safari 17.5 a také v iOS 16.7.8 pro starší iPhone 8, iPhone 8 Plus a iPhone X. Do zpráv se vrací proto, že útočníci ji stále používají proti telefonům, které si tu aktualizaci nikdy nenainstalovaly. Oprava existuje už více než dva roky. Postiženy jsou telefony, které přestaly dostávat aktualizace před květnem 2024.

Stručné shrnutí před podrobnostmi:

• Pokud váš iPhone 8, 8 Plus nebo X běží na iOS 16.7.8 nebo novějším, tento konkrétní útočný řetězec na něm nefunguje.
• Pokud se zastavil na iOS 16.7.7 nebo starším, jste ohroženi a měli byste aktualizovat dnes.
• Pokud na Androidu používáte starou verzi Chrome, týká se vás i související útok. Opravuje ho Chrome 146 a novější.

Co CISA přidala 4. listopadu a proč se vrací chyba z roku 2024?

Samotná chyba se nachází ve WebKitu, tedy v prohlížečovém enginu za Safarí a většinou prohlížečů na iPhonu. Umožňuje útočníkovi, který už má čtení i zápis do paměti, obejít Pointer Authentication, obranu iPhonu. Apple za nálezem uvádí Manfreda Paula spolupracujícího s Zero Day Initiative od Trend Micro. Původní poznámky Applu k opravě si můžete přečíst pro iOS 17.5 a pro iOS 16.7.8.

Kampaň, na kterou CISA upozornila, zdokumentovala francouzská bezpečnostní firma Sekoia v reportu vydaném téhož dne. Co kampaň dělala, rozebíráme v dalších sekcích.

Které telefony jsou ohrožené

Útočné řetězce, které zdokumentovala společnost Sekoia, se dělí podle zařízení a verze softwaru. Řetězec pro iPhone postavený kolem CVE-2024-27834 funguje jen na telefonech s iOS 16.7.7 a starším, protože Apple tuto chybu opravil v iOS 16.7.8 už v květnu 2024. Druhý řetězec pro iPhone cílí na iOS 18.5 a třetí na Chrome na Androidu, konkrétně na verze 139 až 145.

Jedna výhrada se týká iPhonu 8, 8 Plus a X. Tyto telefony dostávají na iOS 16 občasné opravy, ne všechny. Plně aktualizovaný telefon s iOS 16.7.16 řetězec A rozbije, ale může v něm zůstat jiné chyby WebKit, které novější verze iOS opravily. To omezuje, k čemu by se tyto telefony měly používat, o čem píšeme níže.

Jak se z návštěvy webu stal útok?

Metoda se nazývá watering hole. Místo toho, aby útočníci obětem poslali odkaz nebo zprávu, umístí kód na weby, které oběti pravděpodobně navštíví. Prohlížíte si stránku, které důvěřujete, a právě ta vám doručí exploit.

Sekoia zdokumentovala, které weby byly v této kampani zapojeny. Nešlo o zpravodajské weby. Seznam zahrnoval napadené legitimní stránky: ukrajinskou firmu na výrobu plynu, americké obchodní sdružení chemického průmyslu, českou politickou stranu a bulharský web související s armádou. Byly tam i dvě domény napodobující jiné weby, jedna kopírovala americký web výročí America250 a druhá luxusní londýnský hotel. Napadený ukrajinský skript pro webovou analytiku Plerdy byl od 27. srpna do 3. září 2026 na tisících převážně ukrajinských webů. Zeměmi zasaženými byly USA, Ukrajina, Česká republika a Bulharsko, plus Velká Británie prostřednictvím napodobeniny hotelu.

Pro každého, kdo toto čte na telefonu, jsou nejdůležitější dva detaily:

• Nebylo potřeba nic klepnout. Sekoia uvádí, že exploity byly doručeny bez interakce uživatele. Stačilo načíst stránku.
• Po restartu v telefonu nic nezůstalo. Nešlo o trvalé napadení.

Sekoia spojuje kampaň se střední až vysokou mírou jistoty s APT29, skupinou, kterou společnost označuje za široce spojovanou s ruskou zahraniční zpravodajskou službou. Ať už je pachatel kdokoli, praktické poučení je stejné jako v našem článku o Safari a WebKitu z roku 2018: opravený prohlížeč je rozdíl mezi nebezpečnou a neškodnou stránkou. Sekoia sama uvádí, že uživatel s aktuálním operačním systémem je před těmito útoky v bezpečí, protože všechny chyby dodavatel opravil ještě před začátkem kampaně.

Je iPhone 8 nebo iPhone X po aktualizaci v bezpečí?

Z větší části ano. Řetězec A potřebuje dvě chyby, které fungují společně. Jednu z nich, CVE-2024-27834, Apple opravil v iOS 16.7.8 13. května 2024, jak uvádí poznámky Applu. Telefon s iOS 16.7.8 nebo novějším, včetně aktuálního iOS 16.7.16, tedy tento řetězec přeruší. Útok na něj nefunguje.

Limitem je druhá chyba v řetězci, CVE-2025-43529. Poznámky Applu uvádějí její opravu v iOS 18 a iOS 26, ale žádnou pro iOS 16. Plně aktualizovaný iPhone 8 nebo X tedy tuto kampaň odrazí, přesto v něm mohou zůstat další chyby WebKitu, které už novější iPhony nemají. iOS 16 dostává občasné opravy, ne všechny, a rozdíl mezi ním a aktuálním iOS se s časem zvětšuje.

Co to znamená v praxi:

• Telefon s iOS 16.7.7 nebo starším je vystaven řetězci A. Aktualizujte na iOS 16.7.16 ještě dnes, v Nastavení, pak Obecné a Aktualizace softwaru.
• Telefon s iOS 16.7.16 je vůči této kampani v bezpečí, ale neměl by se považovat za plně opravený. Nechte ho pro hovory, zprávy a prohlížení a přesuňte bankovnictví a pracovní účty na novější telefon.
• Telefon, který už nedostává žádné aktualizace, by měl jít do důchodu. Budou se v něm hromadit neopravené chyby prohlížeče.

Aktuální vydání iOS 16, tedy 16.7.16, vyšlo 11. května 2026, podle poznámek k vydání Applu.

Co telefony s Androidem a Chrome?

Třetí řetězec cílí na Android, ne na iOS. Spojuje CVE-2026-3910, chybu v Chrome, s CVE-2025-27038, chybou v grafickém ovladači Qualcommu. Podle Sekoia bere cookies z Chrome, uložené přihlašovací údaje, historii prohlížení a nastavení Wi-Fi.

Chyba v Chrome byla opravena 12. března 2026 ve verzi Chrome 146 na počítačích i na Androidu. Google tehdy uvedl, že exploit existuje v praxi. Platí tedy stejné pravidlo: postiženy jsou telefony, které běží na Chrome 139 až 145, tedy verzích, které přestaly dostávat aktualizace před březnem 2026.

Na Androidu jsou důležité dvě samostatné aktualizace a nepřicházejí společně:

• Prohlížeč: otevřete Play Store, vyhledejte Chrome a klepněte na Aktualizovat. Nainstalovanou verzi zkontrolujete v nastavení Chrome v sekci Informace o Chrome. Potřebujete verzi 146 nebo novější.
• Operační systém: chybu ovladače Qualcommu opravují systémové aktualizace Androidu, najdete je v nastavení v sekci Systém nebo Aktualizace softwaru. Aktualizovaný Chrome na neopraveném Androidu pořád nese druhou polovinu řetězce.

Zda oprava ovladače dorazí na konkrétní telefon, záleží na tom, zda jeho výrobce posílá systémové aktualizace. Telefon, který žádné nedostává, by měl jít do důchodu stejně jako starý iPhone. Riziko se soustředí na telefony, jejichž majitelé nikdy neinstalují aktualizace, které dostávají, a přesně to je vzorec napříč všemi třemi řetězci v této kampani. Pokud váš Chrome měsíce sedí na verzi 145 nebo nižší, berte to jako podnět zkontrolovat aktualizace ještě dnes.

Co byste měli udělat dnes?

Opravy jsou běžné aktualizace a každá chyba v této kampani byla výrobcem opravena ještě před tím, než útoky začaly.

• Na iPhonu otevřete Nastavení, pak Obecné, pak Aktualizace softwaru, a nainstalujte, co se nabídne. Majitelé iPhonu 8, 8 Plus a X by měli skončit na iOS 16.7.16 nebo novějším.
• Na Androidu otevřete Play Store, vyhledejte Chrome a klepněte na Aktualizovat. Výsledek zkontrolujete v Nastavení Chromu, v sekci O aplikaci Chrome. Potřebujete verzi 146 nebo novější.
• Aktualizace systému Android instalujte zvlášť, v Nastavení, v sekci Systém nebo Aktualizace softwaru. Samotná aktualizace prohlížeče neuzavře celý řetězec.
• Pokud váš telefon už neobdrží žádné aktualizace, přestaňte ho používat pro bankovnictví, pracovní účty a nakupování. Tyto účty přesuňte na zařízení, které opravy dostává.
• Pokud iPhone 8, 8 Plus nebo X používáte na cokoli citlivého, začněte plánovat jeho výměnu. Občasné opravy nejsou totéž jako plná podpora.
• Sekoia nezjistila žádnou perzistenci, takže po restartu na telefonu nic nezůstává, ale cookies, které už byly odcizeny, odcizeny zůstávají; pokud mohl nepatchovaný telefon načíst některou z těchto stránek, odhlaste se ze všech relací na svých důležitých účtech a přihlaste se znovu.

Nic z toho není nová rada. Je to stejná rutina, kterou jsme popsali v článku z roku 2014 o bezpečnostní chybě SSL od Applu: zkontrolujte aktualizace, nainstalujte je, opakujte. Další podobné základy najdete pohromadě v našem centru o mobilní bezpečnosti.

Dokáže VPN ochránit před zneužitím chyby v prohlížeči?

Ne. VPN šifruje provoz mezi vaším zařízením a serverem VPN a skrývá vaši IP adresu před stránkami, které navštěvujete. Zabezpečí vás na veřejných Wi-Fi sítích, čemuž se věnujeme v našem článku o veřejných Wi-Fi sítích. Neopravuje Safari ani Chrome a neprohlíží stránky, které načítáte.

Zneužité chyby v této kampani přišly samotným prohlížečem. Pokud napadená stránka doručí exploit, dorazí uvnitř šifrovaného tunelu stejně jako zbytek stránky. VPN vidí jen proud šifrovaného provozu směřujícího na jeden server; nemá žádný způsob, jak rozeznat nepřátelskou stránku od neškodné. Šifrování chrání data při přenosu, nikoli kód, který prohlížeč po doručení spustí.

Tam, kde VPN skutečně pomáhá, je zbytek používání mobilu. Na Wi-Fi v hotelu, na letišti nebo v kavárně drží váš provoz mimo dosah kohokoli dalšího v té síti. Tento typ ochrany popisuje náš článek o veřejných Wi-Fi sítích. To je jiný problém než ten, který tato kampaň zneužívá.

Tyto dvě vrstvy dělají odlišnou práci. Aktualizace zavírají chyby, na kterých exploity v prohlížečích stojí. VPN chrání váš provoz v sítích, které nemáte pod kontrolou. VPN je jedna vrstva a aktualizace ta druhá.