Apple täpper till två WebKit-sårbarheter i iOS 26.2 – uppdatera nu

Apple har släppt en akut säkerhetsuppdatering för iOS 26.2 som täpper till två farliga sårbarheter som redan utnyttjats i riktade attacker. Enligt bolaget rörde det sig om mycket avancerade intrång mot en begränsad krets användare och kopplingar till spionprogram, inte storskalig datastöld eller ekonomiska bedrägerier. Tonläget visar att måltavlan var snäv, men hotet högst reellt.

Båda svagheterna fanns i WebKit—motorn bakom Safari och, på iPhone och iPad, alla tredjepartswebbläsare. I praktiken kunde det räcka att öppna en skadlig webbsida för att trigga ett angrepp. Bristerna, som spåras som CVE-2025-43529 och CVE-2025-14174, användes som delar i samma attackkedja, enligt Apple. Det illustrerar hur ett enda fel i WebKit kan få stora följdeffekter på Apples plattformar.

Den första buggen möjliggjorde godtycklig kodkörning på enheten till följd av felaktig minneshantering i WebKit. Den andra, identifierad i samarbete med Googles Threat Analysis Group, berörde också webbläsarmotorns funktioner. Apple uppger att båda åtgärdades genom skärpt minneshantering och extra kontroller, samtidigt som detaljer hålls tillbaka för att inte ge angripare en färdplan.

Korrigeringar har släppts i hela Apple-ekosystemet, däribland iOS och iPadOS, macOS, watchOS, tvOS, visionOS och Safari. Eftersom iOS kräver att alla webbläsare använder WebKit omfattas även Chrome och andra alternativ på iPhone. Kort sagt: hela kedjan där WebKit ingår behövde täppas till.

Apple uppmanar återigen användare att installera uppdateringar utan dröjsmål och konstaterar att zero-day-kampanjer ofta först siktar in sig på enheter med föråldrad programvara. Företaget pekar också på Lockdown Mode för personer som kan utsättas för riktade attacker och råder till att vara uppmärksam på ovanligt beteende—överhettning, snabb batteritömning eller strul i Safari. Slutsatsen är tydlig: uppdatera i tid och lämna angriparna så få luckor som möjligt.