Apple, iOS 26, iPadOS 26 ve macOS 26 işletim sistemlerini etkileyen ciddi bir güvenlik açığını kapatan güncellemeler yayımladı. Şirket, söz konusu açığın bilgisayar korsanları tarafından "istismar edilmiş olabileceğini" açıkladı. Apple'ın güvenlik sayfalarında yayımlanan bilgiye göre açık, iPhone, iPad ve Mac cihazlarının kullanıcı arayüzünü ve görsel katmanını yöneten ana grafik motorunda tespit edildi. Açığın keşfedilmesi Meta'nın ürün güvenliği ekibine atfedildi.
Açık Nedir ve Hangi Cihazları Etkiliyor?
CVE-2026-86950 olarak sınıflandırılan bu güvenlik açığının teknik detayları kamuoyuyla paylaşılmadı. Ancak bir cihazın grafik motorunun işletim sisteminin geri kalanına geniş çaplı erişim imkânı tanıdığı bilinmektedir. Bu nedenle açığın başarılı biçimde istismar edilmesi durumunda bir saldırganın, etkilenen cihazdan geniş kapsamlı kişisel veriler çalabileceği değerlendirilmektedir.
Apple, açığın "iOS 27 öncesi sürümlerde belirli hedef bireylere yönelik son derece sofistike saldırılar" başlatmak amacıyla kullanılabileceğini belirtti. Şirketin istatistiklerine göre iPhone kullanıcılarının yaklaşık dörtte üçü hâlâ iOS 26 sürümünü çalıştırmaktadır; bu da açığın potansiyel etki alanını oldukça geniş kılmaktadır.
Kim Saldırıyor? Soru İşaretleri Sürüyor
Açığı kimlerin istismar ettiği henüz netlik kazanmadı. Devlet destekli casus yazılım üreticileri mi yoksa siber suçlular mı olduğu bilinmiyor. Apple ve Meta'nın sözcüleri, TechCrunch'ın açığın nasıl keşfedildiğine ve kaç kişinin etkilendiğine ilişkin sorularını yanıtsız bıraktı. Kaç cihazın bu güvenlik açığı nedeniyle gerçekten saldırıya uğradığı da belirsizliğini koruyor.
iOS 27 Kullananlar Bu Açıktan Etkilenmiyor
Bu ay yayımlanan iOS 27, iPadOS 27 ve macOS 27 sürümlerini kullanan cihazlar, söz konusu açıktan etkilenmiyor. Salı günü bu cihazlar için de bir yazılım güncellemesi yayımlandı; ancak bu güncelleme, aktif saldırı altındaki bahsi geçen açığı değil, başka sorunları gidermeye yönelik.
Ayrı Bir "Sıfır Tıklama" Açığı da Kapatıldı
Bu güvenlik yamasının duyurulması, Apple'ın bir başka kritik açığı kapattığının ortaya çıkmasından kısa süre sonra geldi. CVE-2026-86869 olarak tanımlanan bu açık, bilgisayar korsanlarının etkilenen iPhone, iPad veya Mac cihazlarından sessiz sedasız veri çalmasına olanak tanıyabilirdi.
Belçikalı siber güvenlik araştırma firması ironPeak, geçen hafta yayımladığı kapsamlı bir yazıda bu açığın bir "sıfır tıklama" (zero-click) zafiyeti olduğunu açıkladı. Buna göre açık, kullanıcının herhangi bir bağlantıya tıklaması ya da bir eylem gerçekleştirmesi gerekmeksizin, kötü niyetle hazırlanmış bir iMessage aracılığıyla sessizce tetiklenebiliyordu.
ironPeak'in açıklamasına göre bu zafiyet, Apple'ın kötü amaçlı kodların iMessage'ın korumalı alanından kaçmasını engellemek amacıyla geliştirdiği BlastDoor güvenlik özelliğini de devre dışı bırakabiliyordu. Sıfır tıklama açıkları, gözetleme satıcıları ve casus yazılım üreticileri tarafından son derece değerli kabul ediliyor; zira kurbanın herhangi bir etkileşimine gerek duymuyor.
Apple, bu açığı Eylül ayında iOS 27, iPadOS 27 ve macOS 27 sürümlerinin yayımlanmasıyla kapattı. Açığın keşfinde ironPeak'ten Niels Hofmans ile Meta'daki güvenlik araştırmacıları birlikte anıldı; Meta ekibi bulgularını X platformunda paylaştığı bir gönderiyle de doğruladı. Söz konusu açığın kapatılmadan önce siber saldırılarda kullanılıp kullanılmadığı ise henüz bilinmiyor.
Güncellemeyi Neden Hemen Yapmalısınız?
iOS 26 ve iPadOS 26 kullanan cihazlar aktif bir tehdit altında olmaya devam edebilir. Grafik motorunun işletim sistemine olan geniş erişim yetkisi göz önüne alındığında, bu tür bir açığın başarıyla istismar edilmesi ciddi veri kayıplarına yol açabilir. Apple'ın kendi istatistiklerine göre iPhone kullanıcılarının büyük çoğunluğunun hâlâ iOS 26 sürümünde kalması, güncellemenin önemini daha da artırıyor. Şirket, iOS 27, iPadOS 27 ve macOS 27 sürümlerine geçişi tavsiye ediyor.
Sıkça Sorulan Sorular
CVE-2026-86950 açığı tam olarak nedir?
CVE-2026-86950, iPhone, iPad ve Mac cihazlarının kullanıcı arayüzünü ve görsellerini yöneten ana grafik motorunda keşfedilen bir güvenlik açığıdır. Grafik motorunun işletim sistemine geniş erişim imkânı tanıması nedeniyle bu açığın başarıyla istismar edilmesi, saldırganın cihazdan geniş kapsamlı kişisel veriler çalmasına olanak verebilir.
Bu açık hangi Apple işletim sistemlerini etkiliyor?
Açık, iOS 26, iPadOS 26 ve macOS 26 işletim sistemlerini etkiliyor. Bu ay yayımlanan iOS 27, iPadOS 27 ve macOS 27 sürümleri ise bu açıktan etkilenmiyor.
Açığı kim keşfetti?
Apple'ın güvenlik sayfasındaki bilgilere göre açık, Meta'nın ürün güvenliği ekibi tarafından keşfedildi. Apple ve Meta'nın sözcüleri ise açığın nasıl bulunduğuna ilişkin ek yorum yapmaktan kaçındı.
Sıfır tıklama açığı CVE-2026-86869 nedir ve kimler tarafından keşfedildi?
CVE-2026-86869, kötü niyetle hazırlanmış bir iMessage aracılığıyla kullanıcının herhangi bir etkileşimi olmaksızın sessizce tetiklenebilen bir "sıfır tıklama" güvenlik açığıdır. Belçikalı siber güvenlik firması ironPeak'ten Niels Hofmans ve Meta'daki güvenlik araştırmacıları tarafından keşfedildi; Apple bu açığı Eylül ayında iOS 27 ile kapattı.
Cihazımın bu açıklardan etkilenip etkilenmediğini nasıl anlayabilirim?
Kaç kişinin bu açıklardan etkilendiği Apple ve Meta tarafından açıklanmadı. iOS 26, iPadOS 26 veya macOS 26 kullanan cihazlar CVE-2026-86950 açığına karşı savunmasız olmaya devam edebilir. iOS 27, iPadOS 27 veya macOS 27 sürümüne geçiş yapılması bu açığa karşı koruma sağlıyor.
