Apple wydało iOS 27.2 i iPadOS 27.2 26 października 2026 roku. Według wyliczenia Notebookcheck biuletyn obejmuje 163 identyfikatory CVE, czyli oznaczenia luk w zabezpieczeniach. Apple opisało poszczególne poprawki w swoim biuletynie bezpieczeństwa, ale nie podało tej sumy jako nagłówkowej liczby. Wśród wskazanych skutków są możliwy zdalny dostęp do wrażliwych danych przez błąd Apple Intelligence oraz ujawnienie adresu używanego z Hide My Email.
Poprzednią wersję opisaliśmy w artykule o poprawkach dla iOS 27 i iPadOS 27. iOS 27.2 to osobne wydanie z własnymi wpisami dotyczącymi bezpieczeństwa.
Co naprawiają wybrane poprawki
Apple opisuje potencjalne skutki błędów, a nie potwierdzone przypadki naruszenia danych. Poniższe wpisy pokazują, jak różne są wskazane scenariusze i poprawki.
| CVE i komponent | Potencjalny skutek opisany przez Apple | Poprawka Apple |
| CVE-2026-86987, Apple Intelligence | Zdalny napastnik może uzyskać dostęp do wrażliwych danych użytkownika. | Poprawiono kontrolę uprawnień. |
| CVE-2026-112500, Mail i Hide My Email | Może zostać ujawniony oryginalny adres e-mail użytkownika. | Wprowadzono skuteczniejsze ograniczenia. |
| CVE-2026-113898, Accounts | Aplikacja może ominąć ustawienia prywatności. | Poprawiono maskowanie danych w logach. |
| CVE-2026-112612, Accounts | Napastnik z fizycznym dostępem do zaufanego, sparowanego urządzenia może odczytywać i zapisywać dowolne pliki. | Poprawiono sprawdzanie ścieżek dostępu. |
| CVE-2026-84493, AccessorySetupKit | Złośliwa aplikacja może uzyskać dostęp do Bluetooth bez zgody użytkownika. | Poprawiono zarządzanie stanem. |
| CVE-2026-113904, WebKit | Przetworzenie złośliwie przygotowanej treści internetowej może doprowadzić do nieoczekiwanego zamknięcia procesu. | Poprawiono zarządzanie pamięcią. |
Zakres urządzeń zależy od konkretnego wpisu. Dla CVE-2026-86987 Apple wymienia iPhone’a 15 Pro i nowsze, iPada Pro 12,9 cala od 5. generacji, iPada Pro 11 cali od 2. generacji, iPada Air od 5. generacji oraz iPada mini 7. generacji. Z kolei CVE-2026-113898 i CVE-2026-84493 dotyczą iPhone’ów 11 i nowszych oraz wskazanych generacji iPadów: Pro 12,9 cala od 4., Pro 11 cali od 2., Air od 4., iPada od 9. i mini od 6. generacji.
Przy CVE-2026-112612 warunkiem jest fizyczny dostęp do zaufanego, sparowanego urządzenia. Apple opisuje tu możliwość odczytu i zapisu plików, nie zdalny atak. Inaczej przedstawia CVE-2026-86987: wskazany potencjalny dostęp do danych jest zdalny, a wpis dotyczy określonych modeli iPhone’a i iPada.
Co Apple mówi o aktywnym wykorzystywaniu luk
Biuletyn Apple nie rozstrzyga, czy którakolwiek z wymienionych luk była wykorzystywana w aktywnych atakach. Opis potencjalnego skutku, takiego jak dostęp do danych lub ominięcie ustawień prywatności, nie jest informacją o tym, że doszło do konkretnego włamania.
Jak Apple ocenia zgłoszenia luk
Zgodnie z wytycznymi Apple Security Research zgłoszenie powinno jasno opisywać problem i zawierać odtwarzalne kroki oraz działający exploit albo wiarygodny dowód koncepcji. Apple deklaruje, że analizuje zgłoszenia przesłane bezpośrednio do firmy. Problemy wykryte przez AI bez właściwej weryfikacji nie kwalifikują się do nagrody w programie Apple Security Bounty.
