Apple Merilis 11 Pembaruan Keamanan, Perluas Perbaikan Celah yang Dieksploitasi ke iPhone Lama

iPhone lama mendapat perbaikan untuk serangan tertarget

Apple merilis 11 pembaruan keamanan pada 26 Oktober 2026, termasuk tambalan untuk celah grafis yang telah dieksploitasi dan berdampak pada iPhone XS, iPhone XS Max, iPhone XR, serta iPad generasi ketujuh. Rilis tersebut juga menangani ratusan kerentanan di iPhone, iPad, Mac, Apple Watch, Apple TV, headset Vision Pro, dan Safari yang lebih baru.

Perkembangan paling mendesak bagi pemilik perangkat lama tersebut adalah iOS 18.7.11 dan iPadOS 18.7.11. Keduanya memperbaiki CVE-2026-86950, kerentanan CoreGraphics yang menurut Apple mungkin telah digunakan dalam serangan yang sangat tertarget terhadap orang-orang yang menjalankan versi sebelum iOS 27. Memproses file yang dibuat khusus dapat memungkinkan penyerang menjalankan kode pada perangkat yang terdampak.

Apple telah memperbaiki kerentanan tersebut dalam beberapa rilis sistem operasi yang lebih baru pada 28 September. Pembaruan Oktober memperluas perlindungan ke perangkat keras lama melalui proses yang disebut backporting: menerapkan perbaikan keamanan pada versi perangkat lunak sebelumnya tanpa mengharuskan pengguna beralih ke sistem operasi terbaru.

Tanggapan keamanan terpisah berkaitan dengan sertifikat yang disusupi dari otoritas sertifikat India, eMudhra. Apple secara otomatis memblokir sertifikat web yang terdampak di Safari, Mail, dan aplikasi yang menggunakan kerangka kerja jaringan dan keamanannya. Sejumlah alat baris perintah Mac masih memerlukan penanganan karena menggunakan file berbeda untuk menentukan sertifikat mana yang dipercaya.

Rilis Apple dan perhitungan jumlah kerentanan

Daftar rilis keamanan Apple mencantumkan 26 Oktober sebagai tanggal untuk semua 11 rilis. Pembaruan tersebut mencakup tiga generasi perangkat lunak iPhone dan iPad, tiga sistem operasi Mac, dua cabang perangkat lunak Apple TV, watchOS, visionOS, dan Safari.

Jumlah kerentanan yang dipublikasikan adalah:

• iOS 27.2 dan iPadOS 27.2: 163.
• iOS 26.7.2 dan iPadOS 26.7.2: 134.
• iOS 18.7.11 dan iPadOS 18.7.11: tiga.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: tidak ada entri CVE yang dipublikasikan.

Angka-angka tersebut berjumlah 1.265 entri kerentanan di seluruh rilis, yang mewakili setidaknya 329 celah berbeda. Satu kerentanan dapat muncul dalam beberapa pembaruan karena produk Apple menggunakan komponen perangkat lunak yang sama. Jika hanya menghitung iOS dan macOS 27.2, terdapat 286 kerentanan berbeda: 163 ditambah 263, dengan sekitar 140 kerentanan yang sama pada keduanya.

Alasan perbaikan CoreGraphics penting

CoreGraphics menangani tugas seperti menggambar teks dan menampilkan gambar. CVE-2026-86950 adalah celah penulisan di luar batas, yang berarti perangkat lunak dapat menulis informasi melewati area memori yang dialokasikan untuknya. Penyerang dapat memanfaatkan kesalahan tersebut untuk mengganggu program atau membuatnya menjalankan instruksi pilihan penyerang.

Meta Product Security menemukan kerentanan tersebut. Apple, perusahaan yang bertanggung jawab atas sistem operasi terdampak, menjelaskan peringatan eksploitasi itu dalam pemberitahuan keamanannya:

Apple mengetahui adanya laporan bahwa masalah ini mungkin telah dieksploitasi dalam serangan yang sangat canggih terhadap individu tertentu yang menjadi sasaran, pada versi iOS sebelum iOS 27.

Apple juga menjelaskan dampak teknis dan perbaikannya:

Memproses file yang dibuat secara berbahaya dapat menyebabkan eksekusi kode sembarang. Masalah penulisan di luar batas ditangani dengan pemeriksaan batas yang ditingkatkan.

Pemeriksaan batas berarti memastikan program tetap berada dalam ruang memori yang dialokasikan untuknya. Kerentanan ini disebut zero-day karena penyerang telah menggunakannya sebelum perbaikan tersedia. Apple melaporkan tidak mengetahui adanya eksploitasi lain di antara kerentanan yang tercakup dalam rilis Oktober.

Perbaikan dirilis pada cabang perangkat lunak yang berbeda dalam rentang beberapa pekan:

• 28 September: Apple merilis perbaikan di iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1, dan macOS Sequoia 15.8.1.
• 29 September: Otoritas Amerika Serikat menambahkan CVE-2026-86950 ke katalog Known Exploited Vulnerabilities.
• 26 Oktober: iOS 18.7.11 dan iPadOS 18.7.11 membawa perbaikan tersebut ke perangkat lama yang tercantum oleh Apple.

Tanggal rilis September dan Oktober berjarak 28 hari. Bagi pemilik iPhone XS, XS Max, XR, atau iPad generasi ketujuh, langkah praktisnya adalah memasang pembaruan yang tersedia untuk perangkat tersebut. Apple belum mengungkap identitas orang-orang yang menjadi sasaran atau menjelaskan bagaimana file berbahaya itu sampai kepada mereka.

Tiga perbaikan melindungi perangkat lama

iOS 18.7.11 dan iPadOS 18.7.11 memuat tiga perbaikan yang tercantum, termasuk perbaikan CoreGraphics. Dua perbaikan lainnya menangani paparan data sensitif dan akses kamera tanpa izin.

CVE-2026-65339 berdampak pada kerangka kerja Audio dan dapat mengekspos informasi sensitif pengguna. CVE-2026-86990 berdampak pada CoreMedia dan dapat memungkinkan aplikasi berbahaya mengakses kamera tanpa izin pengguna. CoreMedia merupakan bagian dari perangkat lunak yang digunakan Apple untuk mengelola audio dan video.

Apple mencantumkan iPhone XS, iPhone XS Max, iPhone XR, dan iPad generasi ketujuh sebagai perangkat yang memenuhi syarat untuk pembaruan ini. Nomor build-nya adalah 22H384. Pengguna dan administrator dapat menggunakan identitas tersebut sebagai cara lain untuk memeriksa revisi perangkat lunak yang terpasang.

Ketiga perbaikan ini menunjukkan mengapa pembaruan kecil pun perlu segera diperhatikan. Untuk perangkat tersebut, rilis ini menggabungkan perbaikan celah yang telah dieksploitasi dengan perubahan untuk melindungi informasi pribadi dan akses kamera. Pembaruan tetap dapat menangani risiko serius meski tidak memuat ratusan perbaikan.

iPhone dan iPad yang lebih baru mendapat perbaikan lebih luas

Pemberitahuan keamanan iOS Apple menjelaskan perbaikan pada komponen di iOS 27.2 dan iPadOS 27.2, termasuk CoreGraphics, CoreMedia, ImageIO, dan kernel. Kernel adalah bagian utama sistem operasi yang mengelola perangkat keras, memori, serta akses antarprogram.

Ke-163 kerentanan itu mencakup masalah di WebKit, mesin perender web Apple, serta komponen yang memproses gambar, fon, dokumen PDF, audio, dan video. Beberapa di antaranya dapat memungkinkan eksekusi kode saat perangkat memproses konten berbahaya. Kerentanan lainnya dapat memungkinkan aplikasi memperoleh data sensitif atau melewati pengaturan privasi.

Rilis tersebut juga memperbaiki CVE-2026-86987, kerentanan Apple Intelligence yang dapat memungkinkan penyerang jarak jauh mengakses informasi sensitif di iPhone dan iPad yang didukung. Perbaikan lain menangani upaya keluar dari sandbox WebContent, lingkungan terbatas yang dirancang untuk mencegah konten web mengakses bagian sistem lainnya.

Perbaikan tambahan menangani penyamaran sebagai server autentikasi Kerberos dan akses oleh penyerang di sekitar ke jaringan Thread. Kerberos membantu sistem memverifikasi identitas, sedangkan Thread menghubungkan perangkat yang kompatibel, termasuk perangkat rumah pintar.

iOS 27.2 mendukung iPhone 11 dan model lebih baru. iPadOS 27.2 mendukung iPad Pro 12,9 inci generasi keempat, iPad Pro 11 inci generasi kedua, iPad Air generasi keempat, iPad generasi kesembilan, dan iPad mini generasi keenam, serta model yang lebih baru dalam lini tersebut. Cabang 26.7.2 juga mencakup beberapa iPad terdahulu, termasuk iPad generasi kedelapan, iPad Air generasi ketiga, dan iPad mini generasi kelima.

Perbaikan Mac mencakup akses jarak jauh dan kontrol sistem

macOS Golden Gate 27.2 memiliki jumlah kerentanan tertinggi dalam satu rilis, yakni 263. Perbaikannya mencakup lebih dari selusin celah yang dapat memungkinkan aplikasi memperoleh akses root, tingkat kendali tertinggi atas Mac.

Apple juga memperbaiki upaya keluar dari sandbox, celah untuk melewati Gatekeeper, dan masalah kerusakan memori pada komponen yang menangani sistem file dan image disk. Gatekeeper memeriksa perangkat lunak yang diunduh sebelum dijalankan untuk membantu pengguna menghindari aplikasi yang tidak tepercaya.

Screen Sharing, Remote Management, dan SMB, protokol berbagi file melalui jaringan, juga mendapat perbaikan. Sejumlah kerentanan dapat diserang dari jarak jauh atau melalui jaringan lokal. Celah pada Remote Management dapat memungkinkan penyerang jarak jauh menjalankan kode, sehingga pembaruan ini sangat relevan bagi organisasi yang mengelola Mac melalui jaringan.

macOS Tahoe 26.7.2 menangani 213 kerentanan, sedangkan macOS Sequoia 15.8.2 menangani 197. Rilis Tahoe mencakup CVE-2026-43736, celah pada Siri yang dapat memungkinkan aplikasi mengakses informasi sensitif pengguna.

Safari 27.2 tersedia secara terpisah untuk macOS Sequoia dan macOS Tahoe serta menangani 33 kerentanan. Ketersediaannya memberi pengguna yang tetap memakai sistem operasi Mac tersebut pembaruan browser selain perbaikan sistem yang relevan.

Apple Watch, televisi, dan headset turut tercakup

Rilis Apple pada Oktober tidak hanya mencakup ponsel dan komputer. watchOS 27.2 memperbaiki 62 kerentanan dan mendukung Apple Watch Series 9 dan model lebih baru. visionOS 27.2 memperbaiki 125 kerentanan dan tercantum untuk semua model Apple Vision Pro.

tvOS 27.2 menangani 72 kerentanan untuk Apple TV 4K generasi kedua dan model lebih baru. Apple TV HD dan Apple TV 4K generasi pertama mendapat tvOS 26.6.1, yang menurut Apple tidak memiliki entri CVE yang dipublikasikan.

Nomor CVE adalah identitas publik yang digunakan untuk melacak kerentanan keamanan. Daftar Apple memisahkan kompatibilitas perangkat keras dari identitas tersebut, sehingga penting untuk memeriksa model perangkat secara tepat saat menentukan rilis yang sesuai. Di rumah atau tempat kerja, memperbarui ponsel saja berarti Apple Watch, televisi, headset, dan komputer tetap menggunakan perangkat lunak lama.

Alasan Apple memblokir sertifikat eMudhra

Pemberitahuan keamanan eMudhra Apple, yang diterbitkan pada 23 Oktober, menjelaskan masalah terpisah terkait kunci privat milik delapan otoritas sertifikat perantara yang dioperasikan eMudhra. Enam menerbitkan sertifikat TLS untuk situs web, sedangkan dua lainnya menerbitkan sertifikat untuk menandatangani perangkat lunak.

Sertifikat situs web berfungsi seperti dokumen identitas. Otoritas sertifikat menandatanganinya agar perangkat lunak dapat memeriksa bahwa koneksi memang menuju situs web yang diharapkan. Seseorang yang memiliki kunci privat otoritas perantara dapat membuat sertifikat yang tampak sah untuk situs web lain.

Kunci eMudhra dibuat dengan tingkat keacakan yang terlalu rendah sehingga dapat dihitung dari sertifikat publik. Peneliti keamanan Scott Helme mengatakan bahwa ia berhasil memulihkan kedelapan kunci dalam waktu kurang dari satu detik. eMudhra mengaitkan kelemahan tersebut dengan masalah saat upacara pembuatan kunci pada 30 April 2025, dan menyatakan bahwa hanya satu otoritas perantara terdampak yang digunakan di lingkungan produksi serta tidak ada yang menerbitkan sertifikat kepada pengguna akhir.

Seorang peneliti melaporkan masalah tersebut pada 17 Oktober. Apple mulai memblokir 12 sertifikat TLS terdampak pada 19 Oktober, lalu turut memblokir emSign ECC Root CA - G3 pada 23 Oktober. Jumlah sertifikat TLS ada 12 karena masing-masing dari enam otoritas TLS terdampak memiliki dua versi sertifikat yang menghubungkannya ke akar kepercayaan berbeda. eMudhra dan Sectigo mencabut sertifikat terdampak.

Chrome, Firefox, dan Android juga menerapkan pemblokiran, sementara proyek perangkat lunak dan pemasok sistem operasi mengeluarkan perubahan untuk penyimpanan sertifikat mereka masing-masing. Belum ada konfirmasi bahwa kunci eMudhra dieksploitasi secara berbahaya. Pemblokiran otomatis Apple berlaku di Safari, Mail, dan aplikasi yang menggunakan kerangka kerja jaringan dan keamanan Apple tanpa mengharuskan pengguna memasang pembaruan sistem operasi.

Sejumlah alat Mac masih memerlukan penanganan terpisah

Administrator dan pengembang Mac menghadapi masalah tersisa yang lebih terbatas. Beberapa alat bawaan macOS atau Xcode Command Line Tools, termasuk curl, git, python3, ruby, perl, dan openssl, memeriksa sertifikat menggunakan /etc/ssl/cert.pem. Untuk rantai sertifikat yang dipercaya melalui file tersebut, alat-alat ini tidak memeriksa pemblokiran sertifikat Apple atau status pencabutannya.

Apple menyatakan pembaruan perangkat lunak mendatang akan mengubah file tersebut, tetapi belum memberikan tanggal rilis. Administrator yang ingin bertindak lebih cepat dapat mengikuti petunjuk Apple untuk mencadangkan file dan menghapus sertifikat akar yang terkait.

Menghapus emSign ECC Root CA - G3 akan memblokir satu jalur kepercayaan. Pemberitahuan Apple menjelaskan bahwa sertifikat lintas-tanda tangan Sectigo masih dapat diterima melalui AAA Certificate Services, sehingga administrator dapat memilih untuk menghapus akar tersebut juga. Penghapusan sertifikat akar berdampak pada semua alat yang mengandalkan file tersebut dan dapat mengganggu koneksi ke situs web sah yang menggunakan sertifikat lain di bawah akar tersebut.

Pembaruan macOS berikutnya dapat mengganti /etc/ssl/cert.pem, sehingga administrator yang menggunakan langkah sementara ini perlu memeriksa file tersebut setelah pembaruan hingga perubahan permanen dari Apple dirilis. Aplikasi yang memiliki daftar sertifikat sendiri memerlukan penanganan terpisah dari pengembangnya.

Kebanyakan pemilik perangkat Apple tidak perlu mengedit file sertifikat. Langkah yang perlu segera dilakukan adalah memasang pembaruan keamanan yang sesuai, sementara organisasi juga perlu memeriksa layanan manajemen jarak jauh, alat pengembang, dan aplikasi yang mengelola daftar kepercayaannya sendiri. Apple mengapresiasi alat AI dan tim peneliti atas penemuan beberapa celah dalam rilis yang lebih luas, yang menunjukkan bahwa pengujian keamanan menemukan masalah di banyak komponen bersama secara bersamaan.

Poin Utama

• Apple merilis 11 pembaruan keamanan pada 26 Oktober 2026, yang mencakup sistem operasi utamanya dan Safari.
• iOS 18.7.11 dan iPadOS 18.7.11 membawa perbaikan CoreGraphics untuk celah yang telah dieksploitasi ke iPhone XS, XS Max, XR, dan iPad generasi ketujuh.
• Rilis tersebut memuat 1.265 entri kerentanan yang mewakili setidaknya 329 celah berbeda di berbagai komponen perangkat lunak bersama.
• Perbaikan Mac mencakup kerentanan akses jarak jauh, sementara perbaikan lainnya melindungi data sensitif dan izin kamera.
• Apple secara otomatis memblokir sertifikat web eMudhra yang disusupi di Safari, Mail, dan aplikasi yang menggunakan kerangka kerja keamanannya.
• Sejumlah alat baris perintah Mac memerlukan pembaruan file sertifikat mendatang atau langkah sementara opsional oleh administrator.