Sebuah kelemahan sistem pada platform iMessage memungkinkan pelaku peretasan jarak jauh menyusup ke obrolan grup dan membaca pesan di dalamnya, ungkap Apple kemarin saat meluncurkan serangkaian pembaruan perangkat lunak perbaikan. Rangkaian pembaruan sistem tersebut sekaligus menambal celah keamanan terpisah pada iMessage yang dapat mengizinkan anggota baru melihat riwayat obrolan yang telah dikirimkan sebelum mereka bergabung ke grup.
Hingga hari ini, beberapa pembaruan lain yang diluncurkan kemarin untuk varian iPhone XS, XS Max, XR, iPad generasi ketujuh, serta sejumlah tipe Apple Watch terpantau tidak memuat kedua solusi perbaikan tersebut.
Catatan resmi dari perusahaan teknologi ini juga tidak memberikan penjelasan apakah kedua kerentanan tersebut sudah dieksploitasi oleh peretas, prasyarat teknis apa yang dibutuhkan penyerang, apakah peserta grup dapat menyadari kehadiran penyusup, ataupun apakah seluruh anggota grup harus memasang pembaruan agar terbebas dari ancaman risiko.
Selain masalah pada aplikasi perpesanan, paket rilis keamanan tersebut turut mengatasi kelemahan pada pustaka kompresi data Brotli milik Google. Dokumen resmi tidak menyebutkan adanya insiden peretasan yang memanfaatkan kerentanan itu. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah mencantumkan celah ini ke dalam daftar Katalog Kerentanan Tereksploitasi Resmi pada tanggal 27 Oktober.
Kerentanan privasi yang memungkinkan pihak asing menerobos masuk ke ruang obrolan grup terdata dengan kode CVE-2026-113961. Masalah otorisasi ini berhasil diatasi melalui mekanisme validasi yang ditingkatkan. Sementara itu, insiden kebocoran riwayat pesan terdahulu terdaftar dengan identitas CVE-2026-113960.
Daftar Pembaruan yang Membawa Solusi
Masing-masing edisi sistem operasi memperoleh versi tambalan perbaikan tersendiri. Pengumuman keamanan resmi pada iOS dan iPadOS 27.2.1 menguraikan ketiga kerentanan tersebut secara lengkap. Halaman direktori rilis keamanan utama turut mencantumkan tautan rincian catatan setiap paket pembaruan.
Sebaliknya, catatan teknis pembaruan iOS 18.7.12 dan watchOS 26.6.1 hanya merinci perbaikan sektor keamanan lain tanpa menyertakan solusi bagi sistem iMessage atau Brotli.
Pihak produsen belum mengonfirmasi apakah perangkat keras yang masih bertahan pada versi-versi lama tersebut ikut terdampak oleh ketiga masalah ini. Catatan resminya juga tidak menyajikan solusi alternatif bagi pengguna yang belum sanggup melakukan pembaruan saat ini.
Celah Brotli, yang bernomor registrasi CVE-2026-111497, merupakan malfungsi out-of-bounds write pada dekoder pustaka yang dapat merusak memori melalui masukan data berbahaya. Berkas entri CISA mencantumkan Brotli milik Google sebagai produk terdampak dan menyatakan komponen bersangkutan bisa dipakai oleh banyak platform berbeda.
Seluruh sembilan rilis pembaruan turut mengatasi kerentanan Bluetooth dan AirPlay. Dua di antaranya berisiko mengizinkan aksesori berbahaya atau peretas di jangkauan sinyal Bluetooth untuk terhubung tanpa konfirmasi pengguna. Catatan resmi tidak menjabarkan apa saja tindakan yang mampu dijalankan perangkat asing tersebut.
Dua celah lain dapat membiarkan penyerang menerobos batasan percobaan kode sandi Bluetooth, baik dari jarak pancaran nirkabel maupun dari jaringan lokal serupa. Kerentanan tambahan lainnya dapat dieksploitasi oleh peretas dalam jangkauan sinyal untuk merusak alokasi memori sistem yang berjalan.
