Apple iOS 26.2 acil güvenlik güncellemesi: aktif sömürülen iki WebKit açığı kapatıldı

Apple, gerçek hayatta hedefli saldırılarda zaten sömürülen iki tehlikeli açığı kapatan acil iOS 26.2 güvenlik güncellemesini yayımladı. Şirket, vakaların geniş çaplı veri ya da finansal hırsızlıktan çok casus yazılımla bağlantılı, son derece sofistike ve sınırlı bir kullanıcı grubunu hedef alan sızmalardan oluştuğunu aktarıyor. Bu tablo, yamayı erteleyenler için riskin gereksiz yere büyüdüğünü hatırlatıyor.

Her iki zafiyet de Safari’yi ve iPhone ile iPad’deki tüm üçüncü taraf tarayıcıları çalıştıran WebKit’te bulundu. Pratikte, yalnızca kötü niyetli bir siteyi açmak bile saldırıyı tetiklemeye yetiyordu. Apple’a göre CVE-2025-43529 ve CVE-2025-14174 olarak izlenen açıklar aynı saldırı zincirinin parçaları olarak kullanıldı.

İlk hata, WebKit’te uygunsuz bellek yönetimi nedeniyle cihazda keyfi kod çalıştırılmasına kapı aralıyordu. Google’ın Threat Analysis Group ekibiyle ortaklaşa tespit edilen ikinci açık da tarayıcı motorunun işleyişiyle bağlantılıydı. Apple, ikisini de daha sıkı bellek yönetimi ve ek kontrollerle giderdiğini, saldırganlara yol haritası sunmamak için ayrıntıları açıklamadığını belirtiyor.

Düzeltmeler iOS ve iPadOS, macOS, watchOS, tvOS, visionOS ve Safari dahil tüm Apple ekosistemine yayıldı. iOS’te tüm tarayıcıların WebKit kullanma zorunluluğu nedeniyle iPhone’a kurulan Chrome ve diğer alternatifler de risk alanına giriyordu; bu durum, tarayıcı tercihiyle riskten kaçınmayı pratikte imkânsız kılıyor.

Apple, kullanıcıların güncellemeleri gecikmeden kurmasını bir kez daha vurguluyor; sıfır gün kampanyalarının genellikle önce güncel olmayan yazılımlı cihazları hedef aldığına dikkat çekiyor. Şirket, hedefli saldırı riski taşıyanlar için Kilitleme Modu’nu öneriyor ve olağandışı davranışlara—ısınma, ani pil tüketimi ya da Safari’de beklenmedik takılmalar gibi—karşı tetikte olunmasını istiyor. Kısacası, hızlı güncelleme saldırganlara bırakılan boşlukları daraltır.