Досі на iOS 16? Зловмисники використовують баг Safari 2024 року на старих iPhone

4 листопада 2026 року американське агентство кібербезпеки та захисту інфраструктури (CISA) додало CVE-2024-27834, вразливість у Apple WebKit, до свого каталогу вразливостей, що активно експлуатуються. Федеральним установам США дали час до 18 листопада 2026 року, щоб встановити виправлення. У CISA вразливий продукт записано як Apple «Multiple Products».

Сама вразливість з'явилася ще у 2024 році. Apple закрила її 13 травня 2024 року в iOS 17.5 і Safari 17.5, а також в iOS 16.7.8 для старіших iPhone 8, iPhone 8 Plus і iPhone X. Знову про неї заговорили тому, що зловмисники досі використовують її проти телефонів, на яких це оновлення так і не встановили. Виправлення існує понад два роки. Під удар потрапляють ті телефони, які припинили отримувати оновлення до травня 2024 року.

Коротко, ще до деталей:

• Якщо на вашому iPhone 8, 8 Plus або X стоїть iOS 16.7.8 або новіша, цей конкретний ланцюжок атаки на ньому не спрацює.
• Якщо оновлення зупинилося на iOS 16.7.7 або ранішій версії, ви вразливі, і оновитися варто вже сьогодні.
• Якщо на Android у вас стоїть стара версія Chrome, вас стосується і пов'язана атака. Її закриває Chrome 146 або новіша версія.

Що CISA додала 4 листопада і чому баг 2024 року знову актуальний

Сама вразливість міститься в WebKit, браузерному рушії, на якому працюють Safari і більшість браузерів на iPhone. Вона дозволяє зловмиснику, який уже має доступ на читання й запис до пам'яті, обійти Pointer Authentication, один із захисних механізмів iPhone. Apple зазначає, що вразливість знайшов Манфред Пауль у співпраці з Zero Day Initiative компанії Trend Micro. Оригінальні примітки Apple щодо виправлення можна прочитати для iOS 17.5 і для iOS 16.7.8.

Кампанію, через яку вразливість потрапила до списку CISA, задокументувала Sekoia, французька компанія з кібербезпеки, у звіті, опублікованому того ж дня. Ми розповімо про її дії в наступних розділах.

Які телефони в зоні ризику

Ланцюжки атак, задокументовані Sekoia, розрізняються за пристроєм і версією програмного забезпечення. Ланцюжок для iPhone, побудований навколо CVE-2024-27834, працює лише на телефонах з iOS 16.7.7 або старішою, бо Apple виправила цю ваду ще в iOS 16.7.8 у травні 2024 року. Другий ланцюжок для iPhone націлений на iOS 18.5, а третій на Chrome для Android, зокрема версії від 139 до 145.

Одне застереження стосується iPhone 8, 8 Plus і X. Ці телефони отримують лише окремі виправлення на iOS 16, не всі. Телефон з повністю оновленою iOS 16.7.16 розбиває ланцюжок A, але на ньому можуть залишатися інші вади WebKit, які виправлені в новіших версіях iOS. Це обмежує сфери використання таких телефонів, про що ми пишемо нижче.

Як звичайний візит на сайт перетворився на атаку?

Метод називається watering hole, «водопій». Замість того, щоб надсилати жертвам посилання чи повідомлення, зловмисники розміщують код на сайтах, які ці жертви, найімовірніше, відвідуватимуть. Ви заходите на сайт, якому довіряєте, а сайт віддає вам експлойт.

Sekoia задокументувала, які сайти були задіяні в цій кампанії. Це були не новинні ресурси. У списку виявилися зламані легітимні сторінки: українська компанія з видобутку газу, американська галузева асоціація хімічної промисловості, чеська політична партія та болгарський сайт, пов'язаний із військовою тематикою. Були також два домени-двійники: один імітував американський сайт річниці America250, другий, лондонський розкішний готель. Зламаний український скрипт вебаналітики Plerdy з 27 серпня по 3 вересня 2026 року стояв на тисячах переважно українських сайтів. Постраждали країни: США, Україна, Чехія та Болгарія, а через готель-двійника ще й Велика Британія.

Для тих, хто читає це з телефона, важливі дві деталі:

• Дотик не знадобився. Sekoia повідомляє, що експлойти спрацьовували без участі користувача. Достатньо було завантажити сторінку.
• Після перезавантаження на телефоні нічого не залишалося. Персистентності не було.

Sekoia з помірною або високою впевненістю пов'язує кампанію з APT29, групою, яку, як зазначає компанія, широко пов'язують із розвідувальною службою Росії. Попри питання атрибуції, практичний висновок той самий, що й у нашому матеріалі 2018 року про Safari та WebKit: пропатчений браузер це різниця між ворожою сторінкою й нешкідливою. Висновок самої Sekoia: користувач із актуальною операційною системою захищений від цих атак, адже всі вразливості постачальник закрив ще до початку кампанії.

Чи безпечні iPhone 8 або iPhone X після оновлення?

Здебільшого так. Ланцюжок A потребує двох вразливостей, що працюють разом. Одна з них, CVE-2024-27834, була виправлена в iOS 16.7.8 13 травня 2024 року, згідно з нотатками Apple. Тож телефон на iOS 16.7.8 або новішій, включно з поточною iOS 16.7.16, розриває цей ланцюжок. Атака на ньому не спрацює.

Обмеження стосується іншої вразливості в ланцюжку, CVE-2025-43529. Нотатки Apple перелічують виправлення для неї в iOS 18 та iOS 26, але жодного для iOS 16. Повністю оновлений iPhone 8 або X тому блокує цю кампанію, але може все ще мати інші вразливості WebKit, яких уже немає на новіших iPhone. iOS 16 отримує епізодичні виправлення, а не кожне, і розрив між нею та поточною iOS з часом зростає.

Що це означає на практиці:

• Телефон на iOS 16.7.7 або старішій вразливий до ланцюжка A. Оновіть його до iOS 16.7.16 сьогодні: у Налаштуваннях, потім Основні, потім Оновлення ПЗ.
• Телефон на iOS 16.7.16 захищений від цієї кампанії, але його не варто вважати повністю пропатченим. Використовуйте його для дзвінків, повідомлень і перегляду вебсторінок, а банківські та робочі акаунти перенесіть на новіший телефон.
• Телефон, який більше не отримує жодних оновлень, варто відправити на пенсію. Він накопичуватиме невиправлені вразливості браузера.

Поточний реліз iOS 16, версія 16.7.16, вийшов 11 травня 2026 року, згідно з нотатками до релізу Apple.

А як же телефони на Android і Chrome?

Третій ланцюжок націлений на Android, а не на iOS. Він поєднує CVE-2026-3910, ваду в Chrome, із CVE-2025-27038, вадою в графічному драйвері Qualcomm. За даними Sekoia, він краде cookie-файли Chrome, збережені пароли, історію перегляду та налаштування Wi-Fi.

Ваду в Chrome виправили 12 березня 2026 року в Chrome 146 на комп'ютерах і на Android. Google тоді заявив, що експлойт уже використовували в реальних умовах. Це означає, що тут діє те саме правило: під удар потрапляють телефони з Chrome 139 до 145, версіями, які перестали оновлюватися до березня 2026 року.

На Android важливі два окремі оновлення, і вони не приходять разом:

• Браузер: відкрийте Play Store, знайдіть Chrome і натисніть «Оновити». Встановлену версію можна перевірити в налаштуваннях Chrome, у розділі «Про Chrome». Потрібна версія 146 або новіша.
• Операційна система: ваду драйвера Qualcomm виправляють через системні оновлення Android, у налаштуваннях, у розділі «Система» або «Оновлення ПЗ». Оновлений Chrome на непропатченій системі Android все ще містить другу половину ланцюжка.

Чи дістанеться виправлення драйвера конкретного телефону, залежить від того, чи надсилає його виробник. Телефон, який системних оновлень не отримує взагалі, варто списати, як і старий iPhone. Ризик зосереджений на телефонах, власники яких ніколи не встановлюють оновлення, які їм надходять, і це саме та схема, що простежується в усіх трьох ланцюжках цієї кампанії. Якщо ваш Chrome уже місяці стоїть на версії 145 або нижчій, сприйміть це як нагоду перевірити оновлення вже сьогодні.

Що варто зробити вже сьогодні

Виправлення це звичайні оновлення, і кожну вразливість у цій кампанії виробник закрив ще до початку атак.

• На iPhone відкрийте Налаштування, далі Основні, далі Оновлення ПЗ, і встановіть усе, що запропонує система. Власникам iPhone 8, 8 Plus і X потрібна версія iOS 16.7.16 або новіша.
• На Android відкрийте Play Store, знайдіть Chrome і натисніть Оновити. Результат перевірте в налаштуваннях Chrome, у розділі Про Chrome. Потрібна версія 146 або новіша.
• Системні оновлення Android встановлюйте окремо, у Налаштуваннях, у розділі Система або Оновлення ПЗ. Самого лише оновлення браузера недостатньо, щоб закрити весь ланцюжок.
• Якщо ваш телефон більше не отримує жодних оновлень, не користуйтеся ним для банківських операцій, робочих акаунтів і покупок. Перенесіть ці акаунти на пристрій, який отримує виправлення.
• Якщо ви використовуєте iPhone 8, 8 Plus або X для чогось важливого, починайте планувати заміну. Епізодичні виправлення це не те саме, що повна підтримка.
• Sekoia не виявила закріплення в системі, тож після перезавантаження на телефоні нічого не залишається, але вже викрадені cookie від цього не повертаються; якщо на телефоні без оновлень могла завантажитися одна з таких сторінок, вийдіть з усіх сеансів на важливих акаунтах і увійдіть знову.

Нічого нового у цій пораді немає. Це той самий порядок дій, який ми описали ще у статті 2014 року про вразливість SSL в Apple: перевіряйте оновлення, встановлюйте їх, повторюйте. Більше таких базових порад зібрано в нашому розділі про мобільну безпеку.

Чи захищає VPN від експлойту в браузері?

Ні. VPN шифрує трафік між вашим пристроєм і сервером VPN і приховує вашу IP-адресу від сайтів, які ви відвідуєте. Він захищає вас у публічному Wi-Fi, про що ми писали в нашому матеріалі про небезпеки публічного Wi-Fi. Він не встановлює виправлення для Safari чи Chrome і не перевіряє сторінки, які ви завантажуєте.

Експлойти цієї кампанії потрапляли на пристрої через сам браузер. Якщо зламана сторінка віддає експлойт, він надходить усередині зашифрованого тунелю так само, як решта вмісту сторінки. VPN бачить лише потік зашифрованого трафіку до одного сервера і не має способу відрізнити ворожу сторінку від безпечної. Шифрування захищає дані під час передачі, а не код, який ваш браузер виконує після отримання.

Де VPN справді корисний, так це в решті вашого мобільного користування. У Wi-Fi готелю, аеропорту чи кафе він не дає нікому іншому в цій мережі бачити ваш трафік. Йдеться саме про той сценарій, який описано в нашій статті про публічний Wi-Fi. Це інша проблема, ніж та, яку використовує ця кампанія.

Ці два рівні захисту виконують різні завдання. Оновлення закривають вразливості, на які спираються браузерні експлойти. VPN захищає ваш трафік у мережах, які ви не контролюєте. VPN це один рівень, а оновлення це інший.