Почему важно обновить iPhone на iOS 27.2.1

Если айфон на днях предложил поставить iOS 27.2.1, а вы отложили апдейт, потому что новых функций в нем нет, я вас понимаю. Когда обновление только вышло, Apple ограничилась дежурной строчкой про ошибки и безопасность, и в нашей новости о выходе iOS 27.2.1 оставалось только гадать, что за ней стоит. Теперь компания раскрыла полный список исправлений, и выглядит он заметно серьезнее, чем казалось. Одна из закрытых дыр касается переписки, которую многие ведут каждый день, а еще несколько срабатывают, когда злоумышленник просто находится рядом с телефоном. Что именно залатали, насколько это опасно на практике и есть ли смысл ждать.

Человек держит iPhone с уведомлением на экране блокировки: «Ваш iPhone обновлен до iOS 27.2.1»

В групповой чат iMessage можно было попасть без приглашения

Начну с самого неприятного. В приложении «Сообщения» Apple закрыла сразу две уязвимости, и обе связаны с групповыми чатами iMessage. Первая позволяла удаленному злоумышленнику присоединиться к чужой переписке и получать все сообщения группы. Ни приглашения, ни доступа к вашему айфону для этого не требовалось. Как такой гость выглядел для остальных участников и замечали ли его вообще, Apple не уточняет.

Иконка приложения «Сообщения» на синем фоне

Вторая ошибка скромнее, но тоже малоприятная. Человек, которого добавили в группу, мог прочитать сообщения, отправленные еще до его появления. Вспомните рабочий чат, куда позвали нового сотрудника, или семейную группу, где месяц обсуждали подарок одному из ее же участников. Чинить эту часть Apple не стала: уязвимый код просто удалили.

Обе находки компании передал анонимный исследователь. Подробностей о том, как именно работала атака, в описании нет, и это обычная практика: технические детали Apple не раскрывает, чтобы не облегчать жизнь тем, кто захочет повторить атаку. Подписывайтесь на наши каналы в Telegram и МАКС: о срочных заплатках для iPhone мы пишем в тот же день, когда Apple открывает их список.

Половину дыр можно было открыть, просто стоя рядом

Всего в iOS 27.2.1 исправили девять уязвимостей, и пять из них так или иначе завязаны на беспроводные подключения. Самая показательная сидела в системном компоненте CoreUtils. Вредоносное Bluetooth-устройство могло установить пару с айфоном без участия владельца. Обычно для этого нужно подтвердить код или хотя бы нажать кнопку на экране. Здесь система обходилась без вас.

Еще три ошибки касались кодов сопряжения AirPlay. У них есть лимит на число попыток, чтобы код нельзя было подобрать перебором, и этот лимит удавалось обойти. В двух случаях атакующему хватало находиться в радиусе Bluetooth, в третьем — быть с вами в одной сети Wi-Fi. Одна из этих ошибок к тому же позволяла после перебора подключиться без подтверждения. Вагон метро, кофейня, общий Wi-Fi в офисе: айфон проводит в таких местах полдня.

Кнопка AirPlay в плеере на экране iPhone крупным планом

Пятая уязвимость нашлась в самом модуле Bluetooth. Ошибка типа use-after-free позволяла злоумышленнику поблизости повредить память процесса. Звучит абстрактно, но именно с повреждения памяти часто начинаются серьезные взломы, поэтому мимо таких багов исследователи не проходят. Любопытно, что четыре беспроводные дыры Apple нашла сама, а не получила от сторонних специалистов.

Оставшиеся две ошибки из другой оперы. Одна сидела в библиотеке сжатия brotli: специально подготовленные данные могли привести к повреждению памяти. Вторая затрагивала App Intents, через которые приложения общаются с Siri и «Командами»: из-за ошибки авторизации программа могла добраться до чувствительных данных пользователя. Заметили после апдейта, что AirPods, часы или колонка подключаются как-то иначе? Пишите в наш чат в Telegram или МАКС, разберемся вместе.

Взломов пока не было, но тянуть все равно не стоит

Тема безопасности сейчас и без того горячая: буквально на прошлой неделе Apple предупредила владельцев iPhone о новой атаке и разослала уведомления в 99 стран. На этом фоне iOS 27.2.1 выглядит спокойнее. Ни одна из девяти уязвимостей, судя по описанию Apple, не использовалась в реальных атаках. Привычной формулировки о том, что компании известно о возможной эксплуатации ошибки, в списке нет.

Схематичный iPhone с логотипом Apple в виде замка в окружении сетки из точек и линий

Только расслабляться рано. Пока дыра не описана, о ней знают единицы. Теперь же у каждой уязвимости есть публичный номер CVE, компонент и понятное описание того, что она позволяет. Для тех, кто ищет легкую добычу, это готовая подсказка, где копать, а айфоны без апдейта превращаются в мишень. Чем дольше обновление лежит в настройках неустановленным, тем больше людей успевают прочитать этот список.

Сам апдейт при этом ничего не портит. iOS 27.2.1 не трогает интерфейс, не добавляет функций и не переделывает привычные настройки, то есть ломаться в нем особо нечему. Единственный довод в пользу ожидания — дать первым пользователям пару дней проверить, не просела ли батарея. Но для обновления такого масштаба это, если честно, скорее перестраховка.

Для iOS 26 и старых айфонов вышли свои заплатки

Если вы сознательно не переходите на iOS 27, мы отдельно рассказывали, когда лучше всего обновлять айфон на новую систему. Ради этих исправлений спешить не нужно. Одновременно с iOS 27.2.1 Apple выпустила iOS 26.7.3 для iPhone 11 и новее, и в ней закрыты восемь из девяти дыр, включая обе проблемы с групповыми чатами iMessage. Не хватает только исправления App Intents.

Пять iPhone с разными экранами iOS 26 и надпись iOS 26.7.3

Владельцам iPhone XS, XS Max и XR досталась iOS 18.7.12. Список в ней короче: все исправления Bluetooth и AirPlay на месте, а пунктов про iMessage нет. Зато есть своя ошибка в MediaRemote: человек с физическим доступом к телефону мог прямо с экрана блокировки связать устройство с приемником AirPlay. В тот же день вышли watchOS 27.2.1 и 26.6.1, visionOS 27.2.1, а еще macOS Golden Gate 27.2.1, Tahoe 26.7.3 и Sequoia 15.8.3. Код у систем Apple во многом общий, поэтому и заплатки повторяются.

Порядок действий на iPhone такой:

1. Подключите айфон к Wi-Fi и по возможности к зарядке.
2. Откройте Настройки — Основные — Обновление ПО.
3. Нажмите «Обновить сейчас». Если вы на iOS 26, система предложит iOS 26.7.3, а переход на iOS 27 будет отдельной строкой ниже.
4. Введите код-пароль и дождитесь перезагрузки.

Без кабеля айфон не даст начать установку, если заряда меньше 50%, так что зарядка рядом лишней не будет. Если родной кабель уже перетерся на сгибе, замену недорого подобрать в «Сундук Али-Бабы» в МАКС, туда регулярно попадают кабели USB-C в оплетке.

Так стоит ли обновляться на iOS 27.2.1? Да, и откладывать до выхода iOS 27.3 смысла нет. Новых функций вы не получите, зато закроете переписку от незваных гостей и перестанете зависеть от того, кто стоит рядом с вами в метро с включенным Bluetooth.