Всё ещё на iOS 16? Хакеры используют баг Safari 2024 года на старых iPhone

4 ноября 2026 года американское агентство кибернетической и инфраструктурной безопасности CISA добавило CVE-2024-27834, уязвимость в Apple WebKit, в свой каталог активно эксплуатируемых уязвимостей. Федеральным ведомствам США дан срок до 18 ноября 2026 года, чтобы установить исправление. В каталоге CISA уязвимый продукт обозначен как Apple «Multiple Products».

Сама уязвимость относится к 2024 году. Apple закрыла её 13 мая 2024 года в iOS 17.5 и Safari 17.5, а также в iOS 16.7.8 для более старых iPhone 8, iPhone 8 Plus и iPhone X. В новости она снова потому, что атакующие до сих пор применяют её против телефонов, на которых это обновление так и не установили. Исправление существует уже больше двух лет. Под удар попадают те устройства, которые прекратили получать обновления до мая 2024 года.

Коротко, прежде чем перейти к деталям:

• Если на вашем iPhone 8, 8 Plus или X стоит iOS 16.7.8 или более новая версия, эта конкретная цепочка атаки на нём не срабатывает.
• Если обновление остановилось на iOS 16.7.7 или раньше, вы уязвимы и должны обновиться сегодня.
• Если на Android у вас стоит старая версия Chrome, вас тоже касается связанная атака. Chrome 146 или более новая версия устраняет её.

Что CISA добавила 4 ноября и почему уязвимость 2024 года вернулась

Сама уязвимость находится в WebKit, браузерном движке, на котором работают Safari и большинство браузеров iPhone. Она позволяет атакующему, у которого уже есть доступ на чтение и запись в память, обойти Pointer Authentication, механизм защиты iPhone. Apple называет автором находки Манфреда Пауля, сотрудничающего с Zero Day Initiative компании Trend Micro. Оригинальные заметки Apple об исправлении можно прочитать для iOS 17.5 и для iOS 16.7.8.

Кампания, о которой идёт речь в списке CISA, была описана французской компанией в области безопасности Sekoia в отчёте, опубликованном в тот же день. Что именно она делала, разбираем в следующих разделах.

Какие телефоны в зоне риска

Описанные Sekoia цепочки атак различаются по устройству и версии ПО. Цепочка для iPhone, построенная вокруг CVE-2024-27834, работает только на телефонах с iOS 16.7.7 или более ранней, потому что Apple закрыла эту уязвимость ещё в iOS 16.7.8 в мае 2024 года. Вторая цепочка для iPhone нацелена на iOS 18.5, третья на Chrome для Android, а именно на версии с 139 по 145.

Одна оговорка касается iPhone 8, 8 Plus и X. Эти телефоны получают отдельные исправления на iOS 16, но не все. Полностью обновлённый телефон с iOS 16.7.16 неуязвим к цепочке A, однако на нём могут оставаться другие уязвимости WebKit, закрытые в более новых версиях iOS. Это ограничивает сферы использования таких телефонов, о чём мы расскажем ниже.

Как визит на сайт превратился в атаку

Метод называется watering hole, «водопой». Вместо того чтобы отправлять жертвам ссылки или сообщения, злоумышленники размещают код на сайтах, куда эти жертвы скорее всего зайдут. Вы открываете сайт, которому доверяете, а сайт подсовывает вам эксплойт.

Sekoia задокументировала, какие сайты участвовали в этой кампании. Это были не новостные ресурсы. В списке оказались взломанные легитимные страницы: украинская компания по добыче газа, американская отраслевая ассоциация химической промышленности, чешская политическая партия и болгарский сайт, связанный с военной тематикой. Плюс два домена-двойника: один имитировал американский юбилейный сайт America250, другой лондонский отель класса люкс. Взломанный украинский скрипт веб-аналитики Plerdy стоял на тысячах преимущественно украинских сайтов с 27 августа по 3 сентября 2026 года. Затронутые страны: США, Украина, Чехия и Болгария, а через отель-двойник ещё и Великобритания.

Две детали важнее всего для тех, кто читает это с телефона:

• Тапать ничего не требовалось. Sekoia сообщает, что эксплойты срабатывали без участия пользователя. Достаточно было загрузить страницу.
• После перезагрузки на телефоне ничего не оставалось. Закрепления в системе не было.

Sekoia связывает кампанию с APT29 с умеренной или высокой степенью уверенности, отмечая, что эту группу обычно связывают с российской внешней разведкой. Оставим в стороне вопрос атрибуции: практический вывод тот же, что и в нашем материале 2018 года про Safari и WebKit (2018 Safari и WebKit): обновлённый браузер: разница между враждебной страницей и безобидной. Сам Sekoia приходит к выводу, что пользователь со свежей операционной системой защищён от этих атак, поскольку все уязвимости производитель закрыл ещё до начала кампании.

Безопасны ли iPhone 8 или iPhone X после обновления?

В основном да. Для цепочки A нужны две уязвимости, работающие вместе. Одна из них, CVE-2024-27834, была исправлена в iOS 16.7.8 13 мая 2024 года, согласно заметкам Apple. Поэтому телефон на iOS 16.7.8 или новее, включая актуальную iOS 16.7.16, разрывает эту цепочку. Атака на него не работает.

Ограничение касается второй уязвимости цепочки, CVE-2025-43529. В заметках Apple исправление для неё указано в iOS 18 и iOS 26, но не в iOS 16. Полностью обновлённый iPhone 8 или X блокирует эту кампанию, но на нём могут оставаться другие баги WebKit, которых у новых iPhone уже нет. iOS 16 получает отдельные исправления, но не все, и разрыв между ней и актуальной iOS со временем растёт.

Что это значит на практике:

• Телефон на iOS 16.7.7 или более ранней версии уязвим к цепочке A. Обновитесь до iOS 16.7.16 сегодня: Настройки, затем Основные, затем Обновление ПО.
• Телефон на iOS 16.7.16 защищён от этой кампании, но его не стоит считать полностью пропатченным. Оставьте его для звонков, сообщений и просмотра сайтов, а банковские и рабочие аккаунты перенесите на более новый телефон.
• Телефон, который больше не получает никаких обновлений, пора списывать. На нём будут накапливаться неисправленные уязвимости браузера.

Текущий релиз iOS 16, версия 16.7.16, вышел 11 мая 2026 года, согласно заметкам к релизу Apple.

Что насчёт телефонов на Android и Chrome?

Третья цепочка нацелена на Android, а не на iOS. Она объединяет CVE-2026-3910, уязвимость в Chrome, и CVE-2025-27038, уязвимость в графическом драйвере Qualcomm. По данным Sekoia, она забирает cookie-файлы Chrome, сохранённые пароли, историю просмотров и настройки Wi-Fi.

Уязвимость в Chrome закрыли 12 марта 2026 года в Chrome 146 на настольных системах и на Android. Google тогда сообщил, что эксплойт уже использовался в реальных атаках. Отсюда то же правило: под ударом телефоны с Chrome версий с 139 по 145, которые перестали обновляться до марта 2026 года.

На Android важны два отдельных обновления, и приходят они не одновременно:

• Браузер: откройте Play Store, найдите Chrome и нажмите «Обновить». Установленную версию можно посмотреть в настройках Chrome, в разделе «О браузере Chrome». Нужна версия 146 или новее.
• Операционная система: уязвимость драйвера Qualcomm закрывается системными обновлениями Android, в разделе «Настройки», затем «Система» или «Обновление ПО». Обновлённый Chrome на непропатченной системе Android всё ещё оставляет вторую половину цепочки открытой.

Дойдёт ли исправление драйвера до конкретного телефона, зависит от производителя и того, выпускает ли он системные обновления. Телефон, который их вообще не получает, стоит отправить на пенсию, как и старый iPhone. Риск сосредоточен на телефонах, владельцы которых не устанавливают даже те обновления, что приходят, и это ровно та картина, что видна во всех трёх цепочках этой кампании. Если ваш Chrome месяцами стоит на версии 145 или ниже, воспримите это как повод проверить обновления сегодня.

Что делать сегодня

Исправления представляют собой обычные обновления, и каждая уязвимость из этой кампании была закрыта производителем ещё до начала атак.

• На iPhone откройте Настройки, затем Основные, затем Обновление ПО и установите всё, что предложат. Владельцам iPhone 8, 8 Plus и X нужен iOS 16.7.16 или новее.
• На Android откройте Play Store, найдите Chrome и нажмите «Обновить». Результат проверьте в настройках Chrome, в разделе «О браузере Chrome». Нужна версия 146 или новее.
• Системные обновления Android устанавливайте отдельно, через Настройки, раздел «Система» или «Обновление ПО». Одного обновления браузера недостаточно, чтобы закрыть всю цепочку.
• Если ваш телефон больше не получает никаких обновлений вообще, перестаньте использовать его для банковских приложений, рабочих аккаунтов и покупок. Перенесите эти аккаунты на устройство, которое получает патчи.
• Если вы используете iPhone 8, 8 Plus или X для чего-либо чувствительного, начните планировать его замену. Редкие исправления не равны полноценной поддержке.
• Sekoia не обнаружила закрепления в системе, поэтому после перезагрузки на телефоне ничего не остаётся, но уже украденные cookie остаются украденными: если на непатченном телефоне могла открыться одна из таких страниц, завершите все сеансы на важных аккаунтах и войдите заново.

Ничего нового в этих советах нет. Это тот же порядок действий, который мы описывали в статье 2014 года об уязвимости SSL в Apple: проверяйте обновления, устанавливайте их, повторяйте. В нашем разделе о мобильной безопасности собрано больше таких базовых правил в одном месте.

Может ли VPN защитить от эксплойта в браузере?

Нет. VPN шифрует трафик между вашим устройством и сервером VPN и скрывает ваш IP-адрес от посещаемых сайтов. Он защищает вас в публичных Wi-Fi сетях, о чём мы пишем в нашей статье о публичном Wi-Fi. Он не ставит патчи на Safari или Chrome и не проверяет загружаемые страницы.

Эксплойты из этой кампании попадали на устройства через сам браузер. Если взломанная страница отдаёт эксплойт, тот приходит внутри зашифрованного туннеля вместе с остальным содержимым страницы. VPN видит лишь поток зашифрованного трафика к одному серверу и никак не может отличить враждебную страницу от безобидной. Шифрование защищает данные при передаче, а не код, который браузер выполняет после получения.

Где VPN действительно помогает, так это в остальной работе с мобильным устройством. В Wi-Fi сетях отелей, аэропортов и кафе он не даёт вашему трафику попасть к другим пользователям этой сети. Именно об этом говорится в нашей статье о публичном Wi-Fi. Это другая задача, не та, которую эксплуатирует данная кампания.

Эти два уровня решают разные задачи. Обновления закрывают уязвимости, на которых держатся браузерные эксплойты. VPN защищает ваш трафик в сетях, которыми вы не управляете. VPN это один уровень, обновления это другой.