Apple, iMessage Grup Sohbeti Gizlilik ve Bluetooth Eşleştirme Güvenlik Açıklarını Giderdi

Apple, iMessage Grup Sohbeti Gizlilik ve Bluetooth Eşleştirme Güvenlik Açıklarını Giderdi

Apple, dün yaptığı açıklamada, uzaktan bir saldırganın bir iMessage grup sohbetine katılmasına ve mesajları almasına olanak tanıyan bir güvenlik açığını giderdiğini duyurdu. Şirket, bu sorunu çözmek için güncellemeler yayınladı. Ayrıca, bir gruba sonradan eklenen bir kişinin, katılmadan önce gönderilen mesajlara erişmesine izin verebilecek ayrı bir iMessage güvenlik açığı da bu güncellemelerle düzeltildi.

Bugün itibarıyla, iPhone XS, XS Max ve XR, iPad (7. nesil) ve bazı Apple Watch modelleri için dün yayınlanan diğer güncellemelerde bu iki düzeltme yer almıyor.

Şirketin notlarında, bu güvenlik açıklarından herhangi birinin istismar edilip edilmediği, bir saldırganın neye ihtiyaç duyacağı, bu şekilde katılan birinin grup üyeleri tarafından görünüp görünmeyeceği veya korunmak için her üyenin güncelleme yapması gerekip gerekmediği belirtilmiyor.

iMessage güvenlik açıklarını düzelten güncellemeler, Google’ın Brotli sıkıştırma kütüphanesindeki bir güvenlik açığını da gideriyor. Notlarda bu açık kullanılarak herhangi bir saldırıdan bahsedilmiyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu açığı 27 Ekim’de Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna eklemişti.

Hangi Güncellemeler Düzeltmeleri İçeriyor?

Her işletim sistemi sürümü kendi güncellemesini aldı. iOS ve iPadOS 27.2.1 için yayınlanan güvenlik duyurusu, her üç güvenlik açığını da detaylandırıyor. Güvenlik bültenleri listesi ise her güncellemenin notlarına bağlantı veriyor.

iOS 18.7.12 notları ve watchOS 26.6.1 notları diğer güvenlik düzeltmelerini listeliyor ancak iMessage veya Brotli düzeltmelerini içermiyor.

Şirket, bu sürümlerdeki cihazların söz konusu üç güvenlik açığından etkilenip etkilenmediğini belirtmiyor. Notlarında, hemen güncelleme yapamayanlar için herhangi bir geçici çözüm de sunulmuyor.

Uzaktan bir saldırganın grup sohbetine katılmasına izin verebilecek güvenlik açığı CVE-2026-113961 olarak izleniyor. Bu, güncellemelerin geliştirilmiş doğrulama yoluyla düzelttiği bir yetkilendirme sorunudur. Önceki mesajları içeren güvenlik açığı ise CVE-2026-113960 olarak tanımlanıyor.

Brotli güvenlik açığı, CVE-2026-111497, kütüphanenin kod çözücüsünde bellek bozulmasına yol açabilecek bir sınır dışı yazma hatasıdır. CISA’nın Brotli kod çözücü güvenlik açığına ilişkin katalog girişi, etkilenen ürün olarak Google’ın Brotli’sini belirtiyor ve farklı ürünlerin bu bileşeni kullanabileceğini ifade ediyor.

Tüm dokuz güncelleme, Bluetooth ve AirPlay güvenlik açıklarını da gideriyor. İki açık, kötü niyetli bir Bluetooth cihazının veya Bluetooth menzilindeki bir saldırganın kullanıcı etkileşimi olmadan bir cihazla eşleşmesine olanak tanıyabilirdi. Notlarda, eşleşen bir cihazın daha sonra ne yapabileceği belirtilmiyor.

Diğer iki açık ise bir saldırganın eşleştirme kodu deneme sınırını aşmasına izin verebilirdi; biri Bluetooth menzilinden, diğeri ise aynı ağdan. Bir başka açık ise Bluetooth menzilindeki bir saldırganın işlem belleğini bozmasına olanak tanıyabilirdi.