Apple исправила уязвимость в iOS, существовавшую с версии 1.0

Apple выпустила обновление, устраняющее критическую уязвимость (CVE-2026-20700) в динамическом компоновщике (dyld) — одном из самых фундаментальных компонентов операционной системы iOS. Эта уязвимость присутствовала в системе с момента её первого релиза, iOS 1.0, и оставалась незамеченной более десяти лет.

Динамический компоновщик (dyld) отвечает за загрузку и связывание библиотек при запуске приложений. Эксперт по безопасности Милбир (Milbier) сравнивает его с «привратником», который проверяет легитимность приложений и помещает их в защищённую среду (песочницу). Обнаруженная уязвимость позволяла злоумышленникам обойти эту проверку ещё до её начала, получая таким образом контроль над ядром системы.

В обновлении iOS 26.3 также были исправлены несколько уязвимостей в движке WebKit. Как пояснил Милбир, атака могла осуществляться по цепочке: сначала злоумышленник использовал уязвимость в браузере для проникновения, а затем применял брешь в dyld для получения полного контроля над устройством. Подобная атака могла быть «бескликовой» — для заражения пользователю достаточно было просто получить вредоносный контент, даже не нажимая на ссылки.

Причина, по которой уязвимость оставалась незамеченной так долго, кроется в природе самого компонента. Dyld — это стабильный, но чрезвычайно сложный низкоуровневый код, от которого зависят сотни других модулей. Любые изменения в нём сопряжены с высоким риском нарушения совместимости. Кроме того, при аудитах безопасности основное внимание традиционно уделяется прикладному уровню, в то время как проверенные временем базовые компоненты часто остаются без пристального изучения.

Интересный факт: Динамический компоновщик (dyld) является общим компонентом для всех операционных систем Apple — iOS, iPadOS, macOS, watchOS и tvOS. Хотя в данном сообщении речь идёт об iOS, подобные фундаментальные исправления, как правило, распространяются и на другие платформы компании, что подчёркивает масштаб и важность подобных обновлений безопасности.