iOS 27.2 закрыла уязвимость камеры: почему обновление важно установить
Apple выпустила iOS 27.2 с исправлением более чем 160 уязвимостей. Одна из них могла позволить вредоносному приложению получить доступ к камере iPhone или Mac без обычного запроса разрешения.
В iOS 27.2 Apple исправила уязвимость CVE-2026-86990, связанную с доступом приложений к камере. Проблема затрагивала также Mac и потенциально позволяла вредоносной программе включить камеру, не получив согласия владельца устройства через системное окно разрешений. Apple не сообщает о случаях использования этой ошибки в реальных атаках, однако обновление стоит установить как можно скорее.
Патч вошёл в крупный пакет, включающий более 160 исправлений безопасности. Ошибку обнаружил исследователь Mustafa Calap. Она находилась в CoreMedia — системном фреймворке, которым приложения Apple используют для работы с аудио и видео. В кратком описании Apple указала, что проблема с доступом устранена благодаря более строгим ограничениям.
Что именно могло происходить
Обычно приложение на iPhone или Mac обязано запросить разрешение, прежде чем получит доступ к камере. На macOS за это отвечает механизм TCC — Transparency, Consent, and Control. Он должен блокировать попытки приложения использовать чувствительные компоненты устройства, пока пользователь явно не даст согласие.
Уязвимость в CoreMedia могла обойти этот барьер: запрос разрешения на использование камеры мог фактически не появиться. Это не означает, что камера становилась доступна любому приложению автоматически, но вредоносная программа при успешной эксплуатации ошибки получала бы возможность вести съёмку без одобрения пользователя. Особенно неприятен такой сценарий, когда ноутбук остался на столе без присмотра или iPhone лежит экраном вниз.
Индикатор камеры продолжал работать
Ошибка не связана с аппаратной частью камеры и не отключала её системную индикацию. На iPhone при активации камеры по-прежнему должна появляться зелёная точка в строке состояния. На Mac продолжает работать зелёный светодиод, указывающий на использование веб-камеры. Поэтому физическая шторка или накладка на камеру не стала универсальным решением и не заменила своевременную установку обновлений.
У индикатора есть очевидное ограничение: он полезен, только когда пользователь видит экран или сам ноутбук. Для контроля на Mac можно использовать OverSight — бесплатное приложение с открытым исходным кодом, которое уведомляет об активации камеры или микрофона и показывает, какая программа их запросила. Такой мониторинг не исправляет системную уязвимость, но помогает заметить неожиданную активность после обновления системы.
Какие версии нужно установить
Apple устранила проблему в iOS 27.2 и macOS Golden Gate 27.2. Владельцам устройств, которые пока не переходят на новую версию ОС, доступны исправления iOS 26.7.2 и macOS Tahoe 26.7.2. Более старые iPhone, включая iPhone XS и iPhone XR, получают патч в составе iOS 18.7.11.
После установки обновления полезно проверить уже выданные разрешения. На iPhone откройте «Настройки» → «Конфиденциальность и безопасность» → «Камера», а на Mac — «Системные настройки» → «Конфиденциальность и безопасность» → «Камера». Уберите доступ у программ, которые больше не используете или не узнаёте. Исправление CVE-2026-86990 снижает риск обхода защиты, а ревизия разрешений дополнительно ограничивает последствия, если на устройстве окажется нежелательное приложение.
