Firma Apple wydała aktualizację „Background Security Improvement”, która usuwa lukę umożliwiającą złośliwym stronom internetowym ominięcie zabezpieczeń przeglądarki i uzyskanie dostępu do danych z innych witryn.
Co to jest?
Złagodzona luka w zabezpieczeniach WebKit została opisana następująco:
„Problem związany z różnicą pochodzenia w interfejsie API nawigacji został rozwiązany dzięki ulepszonej walidacji danych wejściowych”.
Luki w zabezpieczeniach WebKit odnoszą się do luk w zabezpieczeniach silnika renderującego strony internetowe firmy Apple, na którym działają Safari, Mail i App Store. iOS i macOS.
Oznacza to, że luka CVE-2026-20643 umożliwia złośliwej witrynie podszywanie się pod inną stronę – na przykład taką, której ufasz – a następnie odczytywanie lub kradzież informacji, które powinny pozostać poufne. Zazwyczaj przeglądarki stosują zasadę zwaną„polityką tego samego pochodzenia”, która działa jak solidne ogrodzenie uniemożliwiające jednej witrynie podglądanie danych innej witryny. Ten błąd może pomóc cyberprzestępcom w pokonaniu tego ogrodzenia.
W praktyce osoba atakująca musiałaby najpierw zwabić użytkownika na specjalnie spreparowaną stronę internetową. Gdybyś ją odwiedził, strona ta mogłaby próbować ominąć standardową izolację między witrynami i uzyskać dostęp do elementów, których nie powinna widzieć, takich jak dane z innej karty lub treści osadzone z innej usługi.
Wydaje się, że atakujący nie wykorzystują obecnie tej luki w praktyce, ale chętnie łączą tego typu problemy z innymi błędami, aby przejąć konta lub wykraść poufne dane, co prawdopodobnie skłoniło firmę Apple do wprowadzenia tej poprawki w ramach aktualizacji „Background Security Improvement”. Poprawka Apple'a zaostrza sposób, w jaki WebKit sprawdza i obsługuje nawigację między witrynami.
Co robić
Ta poprawka dotycząca luki w zabezpieczeniach WebKit, oznaczona numerem CVE-2026-20643, jest instalowana jako aktualizacja dla wersji 26.3.1/26.3.2, a nie jako oddzielna, pełna wersja systemu operacyjnego. Ulepszenia bezpieczeństwa działające w tle są dostępne wyłącznie w najnowszej gałęzi systemu operacyjnego (26.x) i są wdrażane automatycznie w tle, jeśli korzystasz z najnowszej wersji.
Dla iOS Użytkownicy iPadOS i iPadOS mogą sprawdzić, czy korzystają z najnowszej wersji oprogramowania, wybierając Ustawienia > Ogólne > Uaktualnienia . Warto również włączyć funkcję automatycznych aktualizacji, jeśli jeszcze tego nie zrobiliście. Można to zrobić na tym samym ekranie.
Użytkownicy systemu macOS Tahoe mogą sprawdzić, czy mają najnowszą wersję 26.3 w menu Apple. W lewym górnym rogu ekranu wybierz opcję „Ten Mac . Wyświetlane tam informacje obejmują nazwę systemu macOS i numer wersji. Jeśli potrzebujesz również numeru kompilacji, kliknij numer wersji, aby go wyświetlić.
Ta poprawa bezpieczeństwa jest dostępna wyłącznie dla użytkowników Mac z systemem Tahoe 26.3.1 i użytkowników MacBooków Neo z systemem 26.3.2.
Wystarczy, że użytkownicy sprawdzą, czy opcja „Ulepszenia bezpieczeństwa w tle” jestwłączona.
Użytkownicy iPhone’a i iPada mogą znaleźć to ustawienie w sekcji Privacy i bezpieczeństwo , gdzie po przewinięciu w dół znajdą przełącznik Ulepszenia zabezpieczeń w tle .
Na Mac (tylko macOS Tahoe 26.3.+) możesz to sprawdzić, postępując zgodnie z poniższymi instrukcjami:
- Kliknij menu Apple > Ustawienia systemowe.
- Na pasku bocznym kliknij Privacy i bezpieczeństwo .
- Przewiń w dół po prawej stronie i kliknij opcję „Ulepszenia zabezpieczeń w tle”.
- Upewnij się, że opcja „Automatyczna instalacja” jest włączona. Jeśli jest wyłączona, Mac nie będzie objęty ulepszeniami bezpieczeństwa do czasu uwzględnienia poprawek w późniejszej pełnej aktualizacji.
Opcja „Zainstaluj” widoczna na moim zrzucie ekranu oznacza, że możesz przyspieszyć ten proces, klikając ją. Można jednak spokojnie poczekać, aż nastąpi to automatycznie.
Po aktualizacji wersja systemu operacyjnego powinna wynosić 26.3.1 (a), z wyjątkiem komputerów MacBook Neo, w których powinna to być wersja 26.3.2 (a).
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Chroni Cię przed phishingiem, wiadomościami typu scam, złośliwymi witrynami i nie tylko. Dzięki wbudowanej funkcji Scam Guard, działającej w czasie rzeczywistym i opartej na sztucznej inteligencji.
