Nadal na iOS 16? Hakerzy wykorzystują błąd Safari z 2024 roku na starych iPhone'ach

4 listopada 2026 amerykańska agencja Cybersecurity and Infrastructure Security Agency dodała CVE-2024-27834, lukę w Apple WebKit, do swojego katalogu Known Exploited Vulnerabilities. Federalne agencje USA mają czas do 18 listopada 2026 na załatanie luki. CISA wymienia podatny produkt jako Apple „Multiple Products”.

Błąd pochodzi z 2024 roku. Apple naprawiło go 13 maja 2024 w iOS 17.5 i Safari 17.5 oraz w iOS 16.7.8 dla starszych modeli iPhone 8, iPhone 8 Plus i iPhone X. Wrócił do wiadomości, bo atakujący wciąż używają go przeciwko telefonom, które nigdy nie zainstalowały tej aktualizacji. Poprawka istnieje od ponad dwóch lat. Atakowane są telefony, które przestały dostawać aktualizacje przed majem 2024.

Krótkie podsumowanie przed szczegółami:

• Jeśli Twój iPhone 8, 8 Plus lub X działa pod iOS 16.7.8 lub nowszym, ten konkretny łańcuch ataku na niego nie działa.
• Jeśli zatrzymał się na iOS 16.7.7 lub wcześniejszym, jesteś narażony i powinieneś zaktualizować system jeszcze dziś.
• Jeśli używasz starej wersji Chrome na Androidzie, dotyczy Cię też powiązany atak. Chrome 146 lub nowszy go naprawia.

Co CISA dodała 4 listopada i dlaczego błąd z 2024 roku wraca?

Sama luka znajduje się w WebKit, silniku przeglądarki stojącym za Safari i większością przeglądarek na iPhone'a. Pozwala atakującemu, który ma już dostęp do odczytu i zapisu pamięci, obejść Pointer Authentication, mechanizm obronny iPhone'a. Apple wymienia Manfreda Paula współpracującego z Zero Day Initiative firmy Trend Micro. Notatki Apple dotyczące oryginalnej poprawki można przeczytać dla iOS 17.5 oraz dla iOS 16.7.8.

Kampanię, do której odnosi się wpis CISA, opisała Sekoia, francuska firma zajmująca się bezpieczeństwem, w raporcie opublikowanym tego samego dnia. Opisujemy, co robiła, w kolejnych sekcjach.

Które telefony są zagrożone?

Opisane przez Sekoię łańcuchy ataku różnią się w zależności od urządzenia i wersji oprogramowania. Łańcuch dla iPhone'a oparty na CVE-2024-27834 działa tylko na telefonach z iOS 16.7.7 lub starszym, bo Apple naprawiło tę lukę w iOS 16.7.8 już w maju 2024 roku. Drugi łańcuch dla iPhone'a celuje w iOS 18.5, a trzeci w Chrome na Androidzie, konkretnie w wersje od 139 do 145.

Jedno zastrzeżenie dotyczy iPhone'a 8, 8 Plus i X. Te telefony dostają na iOS 16 tylko część poprawek, nie wszystkie. W pełni zaktualizowany telefon z iOS 16.7.16 zamyka łańcuch A, ale może nadal zawierać inne błędy WebKit, które nowsze wersje iOS naprawiły. To ogranicza zakres zastosowań tych telefonów, o czym piszemy poniżej.

Jak wizyta na stronie zamieniła się w atak?

Metoda nosi nazwę watering hole. Zamiast wysyłać celom link lub wiadomość, atakujący umieszczają kod na stronach, które te cele prawdopodobnie odwiedzą. Wchodzisz na stronę, której ufasz, a to ona serwuje exploit.

Sekoia udokumentowała, które strony brały udział w tej kampanii. Nie były to portale informacyjne. Na liście znalazły się zhakowane legalne witryny: ukraińska firma zajmująca się wydobyciem gazu, amerykańskie stowarzyszenie branżowe przemysłu chemicznego, czeska partia polityczna oraz bułgarska strona powiązana z wojskiem. Były też dwie domeny podszywające się, jedna imitująca amerykańską stronę rocznicy America250, a druga londyński luksusowy hotel. Zhakowany ukraiński skrypt analityczny, Plerdy, znajdował się na tysiącach głównie ukraińskich stron od 27 sierpnia do 3 września 2026. Dotknięte kraje to USA, Ukraina, Czechy i Bułgaria, a przez podszywającą się stronę hotelu także Wielka Brytania.

Dwie kwestie mają największe znaczenie dla każdego, kto to czyta na telefonie:

• Nie trzeba było niczego dotykać ani klikać. Sekoia podaje, że exploity były serwowane bez interakcji użytkownika. Wystarczyło załadować stronę.
• Po restarcie na telefonie nic nie zostawało. Nie było trwałego zapisu.

Sekoia z umiarkowanym do wysokim stopniem pewności wiąże tę kampanię z grupą APT29, którą firma wskazuje jako szeroko powiązaną z rosyjską służbą wywiadu zagranicznego. Poza kwestią atrybucji praktyczna lekcja jest ta sama, co w naszym tekście o Safari i WebKit z 2018 roku: załatana przeglądarka to różnica między stroną wrogą a nieszkodliwą. Sama Sekoia konkluduje, że użytkownik z aktualnym systemem operacyjnym jest przed tymi atakami bezpieczny, ponieważ każdy błąd został naprawiony przez producenta jeszcze przed rozpoczęciem kampanii.

Czy iPhone 8 lub iPhone X jest bezpieczny po aktualizacji?

Zasadniczo tak. Łańcuch A wymaga dwóch luk działających razem. Jedna z nich, CVE-2024-27834, została załatana w iOS 16.7.8 13 maja 2024, zgodnie z notatkami Apple. Telefon z iOS 16.7.8 lub nowszym, w tym z obecnym iOS 16.7.16, przerywa więc ten łańcuch. Atak na niego nie działa.

Ograniczeniem jest druga luka w łańcuchu, CVE-2025-43529. Notatki Apple wymieniają poprawkę dla niej w iOS 18 i iOS 26, ale żadnej dla iOS 16. W pełni zaktualizowany iPhone 8 lub X blokuje więc tę kampanię, ale może nadal mieć inne błędy WebKit, których nowsze iPhone'y już nie mają. iOS 16 dostaje okazjonalne poprawki, nie każdą, a odstęp między nim a obecnym iOS rośnie z czasem.

Co to oznacza w praktyce:

• Telefon z iOS 16.7.7 lub wcześniejszym jest narażony na łańcuch A. Zaktualizuj go dziś do iOS 16.7.16: Ustawienia, potem Ogólne, potem Aktualizacja systemu.
• Telefon z iOS 16.7.16 jest bezpieczny przed tą kampanią, ale nie należy traktować go jako w pełni załatanego. Trzymaj na nim rozmowy, wiadomości i przeglądanie, a konta bankowe i służbowe przenieś na nowszy telefon.
• Telefon, który nie dostaje już żadnych aktualizacji, nadaje się do wycofania. Będzie gromadził niezałatane błędy przeglądarki.

Obecne wydanie iOS 16, czyli 16.7.16, ukazało się 11 maja 2026, zgodnie z notatkami o wydaniu Apple.

A co z telefonami z Androidem i Chrome?

Trzeci łańcuch celuje w Androida, nie w iOS. Łączy CVE-2026-3910, lukę w Chrome, z CVE-2025-27038, luką w sterowniku graficznym Qualcomma. Według Sekoi atak przejmuje ciasteczka Chrome, zapisane dane logowania, historię przeglądania i ustawienia Wi-Fi.

Lukę w Chrome załatano 12 marca 2026 w Chrome 146 na komputerach i na Androidzie. Google powiedział wtedy, że exploit był wykorzystywany w praktyce. To znaczy, że obowiązuje tu ta sama zasada: trafione są telefony z Chrome 139 do 145, czyli wersjami, które przestały otrzymywać aktualizacje przed marcem 2026.

Na Androidzie liczą się dwie osobne aktualizacje i nie przychodzą razem:

• Przeglądarka: otwórz Play Store, wyszukaj Chrome i kliknij Aktualizuj. Zainstalowaną wersję sprawdzisz w ustawieniach Chrome, w sekcji Informacje o Chrome. Potrzebujesz wersji 146 lub nowszej.
• System operacyjny: lukę w sterowniku Qualcomma załatano przez aktualizacje systemu Android, w Ustawieniach, w sekcji System lub Aktualizacja oprogramowania. Zaktualizowany Chrome na niezałatanym Androidzie nadal niesie drugą połowę łańcucha.

To, czy poprawka sterownika dotrze do danego telefonu, zależy od producenta i od tego, czy wysyła aktualizacje systemu. Telefon, który nie dostaje żadnych, powinien zostać wycofany z użytku, tak jak stary iPhone. Ryzyko koncentruje się na telefonach, których właściciele nigdy nie instalują otrzymywanych aktualizacji, i to dokładnie ten schemat widać we wszystkich trzech łańcuchach tej kampanii. Jeśli Twój Chrome od miesięcy stoi na wersji 145 lub niższej, potraktuj to jako sygnał, żeby dziś sprawdzić aktualizacje.

Co zrobić już dziś?

Poprawki to zwykłe aktualizacje, a każdą lukę z tej kampanii producent załatał, zanim ataki się zaczęły.

• Na iPhonie wejdź w Ustawienia, potem Ogólne, potem Aktualizacja systemu, i zainstaluj to, co zostanie zaproponowane. Właściciele iPhone'a 8, 8 Plus i X powinni trafić na iOS 16.7.16 lub nowszy.
• Na Androidzie otwórz Play Store, wyszukaj Chrome i stuknij Aktualizuj. Wynik sprawdź w ustawieniach Chrome, w sekcji Informacje o Chrome. Potrzebujesz wersji 146 lub nowszej.
• Aktualizacje systemu Android zainstaluj osobno, w Ustawieniach, w sekcji System lub Aktualizacja oprogramowania. Sama aktualizacja przeglądarki nie zamyka całego łańcucha.
• Jeśli Twój telefon nie dostaje już żadnych aktualizacji, przestań używać go do bankowości, kont służbowych i zakupów. Przenieś te konta na urządzenie, które dostaje poprawki.
• Jeśli używasz iPhone'a 8, 8 Plus lub X do czegoś wrażliwego, zacznij planować jego wymianę. Sporadyczne poprawki to nie to samo, co pełne wsparcie.
• Sekoia nie znalazła persystencji, więc po restarcie nic nie zostaje na telefonie, ale ciasteczka, które już wykradziono, pozostają wykradzione; jeśli niezałatany telefon mógł załadować którąś z tych stron, wyloguj się ze wszystkich sesji na swoich ważnych kontach i zaloguj ponownie.

Nic z tego nie jest nową poradą. To ta sama rutyna, którą opisaliśmy w naszym artykule z 2014 roku o luce SSL w Apple: sprawdź aktualizacje, zainstaluj je, powtórz. Nasz hub o bezpieczeństwie mobilnym zbiera więcej takich podstaw w jednym miejscu.

Czy VPN chroni Cię przed exploitem przeglądarki?

Nie. VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN i ukrywa Twój adres IP przed odwiedzanymi stronami. Zabezpiecza Cię w publicznych sieciach Wi-Fi, o czym piszemy w naszym artykule o publicznym Wi-Fi. Nie łata Safari ani Chrome i nie analizuje wczytywanych stron.

Exploity z tej kampanii trafiały do urządzenia przez samą przeglądarkę. Jeśli zhakowana strona serwuje exploit, ten exploit dociera wewnątrz zaszyfrowanego tunelu tak samo jak reszta strony. VPN widzi jedynie strumień zaszyfrowanego ruchu do jednego serwera i nie ma sposobu, by odróżnić stronę wrogą od nieszkodliwej. Szyfrowanie chroni dane w trakcie przesyłania, a nie kod, który przeglądarka uruchamia po ich dotarciu.

VPN pomaga natomiast w pozostałych przypadkach korzystania z telefonu. W sieciach Wi-Fi w hotelach, na lotniskach czy w kawiarniach trzyma Twój ruch z dala od innych osób w tej samej sieci. To ten opisany w naszym artykule o publicznym Wi-Fi. To inny problem niż ten, na którym opiera się ta kampania.

Te dwie warstwy pełnią różne funkcje. Aktualizacje zamykają luki, na których polegają exploity przeglądarki. VPN chroni Twój ruch w sieciach, którymi nie zarządzasz. VPN to jedna warstwa, a aktualizacje to druga.