Heb je een iPhone of iPad die nog op iOS 26 draait en staat er crypto in een wallet-app? Installeer dan vandaag nog iOS 26.7.1. Apple heeft op 28 september een lek in CoreGraphics gedicht dat volgens het bedrijf mogelijk al is misbruikt bij gerichte aanvallen. Blockchain-beveiliger SlowMist waarschuwt crypto-houders daarom om niet te wachten.
Kerncijfers
- Kwetsbaarheid: CVE-2026-86950
- Patch voor iPhone: iOS 26.7.1
- Releasedatum: 28 september 2026
- Getroffen toestellen: iPhone 11 en nieuwer (op iOS 26)
Wat Apple wel en niet zegt
Het gaat om een zogeheten out-of-bounds write in CoreGraphics, het onderdeel van Apples besturingssystemen dat afbeeldingen, grafische elementen en documenten verwerkt. Voor wie niet technisch is: bij zo’n fout schrijft software gegevens buiten het geheugengebied dat ervoor bedoeld is. Een aanvaller die dat goed uitbuit, kan zijn eigen code op je toestel laten draaien. Volgens Apple is een kwaadaardig bestand daarvoor al genoeg. Het lek is gedicht met strengere controles op die geheugengrenzen. Meta Product Security heeft de kwetsbaarheid ontdekt en gemeld.
Apple is zoals altijd zuinig met details. In de beveiligingsnotitie staat: “Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27.” Welk bestandstype werd gebruikt, wie de slachtoffers zijn en wie achter de aanvallen zit, maakt het bedrijf niet bekend. SecurityWeek wijst erop dat CoreGraphics ook 2D-graphics en pdf’s rendert. Een kwaadaardig bestand kan dus via een website, een e-mailbijlage of een berichtenapp binnenkomen, waar automatische voorvertoningen het risico nog groter maken.
Het lek zit niet alleen in iPhones. Ook Macs hebben een update gekregen.
| Platform | Versie met fix |
|---|---|
| iPhone (iOS 26-tak) | iOS 26.7.1 |
| iPad (iPadOS 26-tak) | iPadOS 26.7.1 |
| Mac (Tahoe) | macOS Tahoe 26.7.1 |
| Mac (Sequoia) | macOS Sequoia 15.8.1 |
Nieuwere toestellen kunnen ook naar iOS 27.0.1, dat op dezelfde dag verscheen.
De cryptohoek: terecht alarm, maar lees goed
SlowMist-CISO 23pds schreef dat de update waarschijnlijk een actief misbruikte zero-day dicht die gebruikt werd om crypto-wallets leeg te trekken. Sommige cryptomedia maakten daar meteen een bevestigde wallet-hack van. Zo ver gaat het bewijs niet. Apple noemt in zijn advies nergens cryptocurrency, wallets, seed phrases of private keys. Ook SlowMist heeft niet aangetoond dat juist deze CVE bij eerdere diefstallen is gebruikt.
Waarom de waarschuwing toch hout snijdt, blijkt uit wat er eerder dit jaar gebeurde. Kwaadaardige versies van de iOS-app FomoPeek bevatten een exploitframework dat uit Apples sandbox kon breken en bij Keychain-gegevens, private keys en seed phrases kon komen. Binance raadde getroffen gebruikers toen aan de app te verwijderen, iOS bij te werken en hun crypto naar een nieuwe wallet op een schoon toestel te verhuizen. SlowMist volgt daarnaast Darksword, een exploitketen die na één klik op een kwaadaardige link het toestel kan overnemen. Geen van die zaken is aan CVE-2026-86950 gekoppeld, maar ze laten wel zien dat aanvallers de iPhone nadrukkelijk als toegang tot wallets zien.
De les voor crypto-houders is simpel. Een lek dat code laat uitvoeren via een ogenschijnlijk onschuldig bestand is precies het soort ingang waarmee je een hot wallet op je telefoon kwijtraakt. Zet dus automatische updates aan, open geen onverwachte bestanden en links, en bewaar grotere bedragen niet in een app op het toestel dat je ook voor mail en chat gebruikt. Denk je dat je eerder met verdachte wallet-software te maken hebt gehad? Dan is een update alleen niet genoeg. Een nieuwe wallet met verse sleutels, aangemaakt op een schoon toestel, is dan de veilige keuze.
The post Update je iPhone nu: Apple dicht actief misbruikt lek, experts waarschuwen crypto-houders appeared first on Coinliners.nl.