Apple ने 11 सुरक्षा अपडेट जारी किए, पुराने iPhones के लिए शोषित खामी का सुधार भी शामिल

पुराने iPhones को लक्षित हमलों से बचाने के लिए सुधार जारी

Apple ने 26 अक्टूबर, 2026 को 11 सुरक्षा अपडेट जारी किए। इनमें एक शोषित ग्राफिक्स खामी का सुधार भी शामिल है, जो iPhone XS, iPhone XS Max, iPhone XR और सातवीं पीढ़ी के iPad को प्रभावित करती है। इन अपडेट में नए iPhones, iPads, Macs, Apple Watches, Apple TVs, Vision Pro हेडसेट और Safari की सैकड़ों खामियों के सुधार भी हैं।

इन पुराने डिवाइस के मालिकों के लिए सबसे जरूरी अपडेट iOS 18.7.11 और iPadOS 18.7.11 हैं। दोनों में CVE-2026-86950 का सुधार किया गया है। यह CoreGraphics की एक खामी है, जिसका इस्तेमाल Apple के मुताबिक iOS 27 से पुराने संस्करणों पर चल रहे लोगों के खिलाफ बेहद लक्षित हमलों में किया गया हो सकता है। खास तौर पर तैयार की गई फाइल को प्रोसेस करने से हमलावर प्रभावित डिवाइस पर कोड चला सकता था।

Apple ने 28 सितंबर को कई नए ऑपरेटिंग सिस्टम संस्करणों में इस खामी को पहले ही ठीक कर दिया था। अक्टूबर का अपडेट बैकपोर्टिंग नाम की प्रक्रिया के जरिए पुराने हार्डवेयर को भी सुरक्षा देता है। इसमें नवीनतम ऑपरेटिंग सिस्टम पर जाने की जरूरत के बिना, पुराने सॉफ्टवेयर संस्करण में सुरक्षा सुधार शामिल किया जाता है।

एक अलग सुरक्षा कदम भारतीय प्रमाणपत्र प्राधिकरण eMudhra के प्रभावित प्रमाणपत्रों से जुड़ा है। Apple ने Safari, Mail और अपने नेटवर्किंग व सुरक्षा फ्रेमवर्क इस्तेमाल करने वाले ऐप्स में प्रभावित वेब प्रमाणपत्रों को अपने आप ब्लॉक कर दिया है। Mac के कुछ कमांड लाइन टूल पर अब भी ध्यान देना जरूरी है, क्योंकि वे यह तय करने के लिए अलग फाइल का इस्तेमाल करते हैं कि किन प्रमाणपत्रों पर भरोसा किया जाए।

Apple ने क्या जारी किया और आंकड़े कैसे जुड़ते हैं

Apple की सुरक्षा रिलीज़ सूची के मुताबिक सभी 11 अपडेट 26 अक्टूबर को जारी किए गए। इनमें iPhone और iPad सॉफ्टवेयर की तीन पीढ़ियां, Mac के तीन ऑपरेटिंग सिस्टम, Apple TV सॉफ्टवेयर की दो शाखाएं, watchOS, visionOS और Safari शामिल हैं।

प्रकाशित खामियों की संख्या इस प्रकार है:

• iOS 27.2 और iPadOS 27.2: 163।
• iOS 26.7.2 और iPadOS 26.7.2: 134।
• iOS 18.7.11 और iPadOS 18.7.11: तीन।
• macOS Golden Gate 27.2: 263।
• macOS Tahoe 26.7.2: 213।
• macOS Sequoia 15.8.2: 197।
• tvOS 27.2: 72।
• watchOS 27.2: 62।
• visionOS 27.2: 125।
• Safari 27.2: 33।
• tvOS 26.6.1: CVE प्रविष्टियां प्रकाशित नहीं की गईं।

इन रिलीज़ में कुल 1,265 खामी प्रविष्टियां हैं, जो कम से कम 329 अलग-अलग खामियों को दर्शाती हैं। Apple के उत्पादों में सॉफ्टवेयर के कुछ घटक साझा होते हैं, इसलिए एक खामी कई अपडेट में दर्ज हो सकती है। केवल iOS और macOS 27.2 को देखें, तो इनमें 286 अलग-अलग खामियां हैं: 163 और 263 का कुल, जिनमें करीब 140 साझा हैं।

CoreGraphics का सुधार क्यों अहम है

CoreGraphics टेक्स्ट बनाने और तस्वीरें दिखाने जैसे काम संभालता है। CVE-2026-86950 मेमोरी की सीमा से बाहर लिखने की खामी है। यानी सॉफ्टवेयर उसके लिए तय मेमोरी क्षेत्र के बाहर जानकारी लिख सकता है। हमलावर इस गलती का इस्तेमाल किसी प्रोग्राम में दखल देने या उससे अपने चुने हुए निर्देश चलवाने के लिए कर सकता है।

इस खामी का पता Meta Product Security ने लगाया। प्रभावित ऑपरेटिंग सिस्टम की जिम्मेदारी संभालने वाली कंपनी Apple ने अपनी सुरक्षा सूचना में शोषण की चेतावनी इस तरह दी:

Apple को एक रिपोर्ट की जानकारी है कि iOS 27 से पहले के संस्करणों पर चुनिंदा लोगों को निशाना बनाकर किए गए बेहद परिष्कृत हमले में इस समस्या का इस्तेमाल किया गया हो सकता है।

Apple ने तकनीकी असर और सुधार के बारे में यह भी बताया:

दुर्भावनापूर्ण तरीके से तैयार की गई फाइल को प्रोसेस करने से मनमाना कोड चल सकता है। मेमोरी की सीमा से बाहर लिखने की समस्या को सीमा की बेहतर जांच करके ठीक किया गया है।

सीमा की जांच का मतलब है यह देखना कि कोई प्रोग्राम उसे आवंटित मेमोरी क्षेत्र के भीतर ही रहे। इस खामी को जीरो-डे कहा गया, क्योंकि हमलावरों ने इसका इस्तेमाल सुधार उपलब्ध होने से पहले किया था। Apple ने बताया कि अक्टूबर के अपडेट में शामिल अन्य खामियों के शोषण की कोई दूसरी जानकारी उसे नहीं मिली।

अलग-अलग सॉफ्टवेयर शाखाओं में यह सुधार कई हफ्तों के दौरान जारी हुआ:

• 28 सितंबर: Apple ने iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 और macOS Sequoia 15.8.1 में सुधार जारी किए।
• 29 सितंबर: अमेरिकी अधिकारियों ने CVE-2026-86950 को Known Exploited Vulnerabilities सूची में जोड़ा।
• 26 अक्टूबर: iOS 18.7.11 और iPadOS 18.7.11 ने Apple की सूची में शामिल पुराने डिवाइसों के लिए यह सुधार जारी किया।

सितंबर और अक्टूबर की रिलीज़ के बीच 28 दिन का अंतर है। iPhone XS, XS Max, XR या सातवीं पीढ़ी के iPad के मालिकों को अपने डिवाइस के लिए उपलब्ध अपडेट इंस्टॉल करना चाहिए। Apple ने निशाना बनाए गए लोगों की पहचान या यह सार्वजनिक नहीं किया है कि दुर्भावनापूर्ण फाइलें उन तक कैसे पहुंचीं।

तीन सुधार पुराने डिवाइस को सुरक्षित करते हैं

iOS 18.7.11 और iPadOS 18.7.11 में तीन सुधार सूचीबद्ध हैं, जिनमें CoreGraphics का सुधार भी शामिल है। बाकी दो संवेदनशील डेटा उजागर होने और अनुमति के बिना कैमरा इस्तेमाल किए जाने की खामियों को ठीक करते हैं।

CVE-2026-65339 Audio फ्रेमवर्क को प्रभावित करता है और संवेदनशील उपयोगकर्ता जानकारी उजागर कर सकता है। CVE-2026-86990 CoreMedia को प्रभावित करता है और किसी दुर्भावनापूर्ण ऐप को उपयोगकर्ता की अनुमति के बिना कैमरा इस्तेमाल करने दे सकता है। CoreMedia, Apple के ऑडियो और वीडियो प्रबंधन सॉफ्टवेयर का हिस्सा है।

Apple ने iPhone XS, iPhone XS Max, iPhone XR और सातवीं पीढ़ी के iPad को इन अपडेट के लिए पात्र बताया है। बिल्ड नंबर 22H384 है। उपयोगकर्ता और प्रशासक इस पहचान संख्या से यह भी जांच सकते हैं कि कौन-सा सॉफ्टवेयर संस्करण इंस्टॉल है।

ये तीन सुधार दिखाते हैं कि छोटा अपडेट भी तुरंत इंस्टॉल करना क्यों जरूरी हो सकता है। इन डिवाइसों के लिए अपडेट में शोषित खामी का सुधार है और निजी जानकारी व कैमरा इस्तेमाल की सुरक्षा के बदलाव भी हैं। किसी अपडेट में गंभीर जोखिम दूर करने के लिए सैकड़ों खामियों के सुधार होना जरूरी नहीं है।

नए iPhones और iPads में व्यापक सुधार

Apple की iOS सुरक्षा सलाह में iOS 27.2 और iPadOS 27.2 के घटकों के सुधारों का ब्योरा है। इनमें CoreGraphics, CoreMedia, ImageIO और kernel शामिल हैं। Kernel ऑपरेटिंग सिस्टम का केंद्रीय हिस्सा है, जो हार्डवेयर, मेमोरी और प्रोग्रामों के बीच पहुंच का प्रबंधन करता है।

इन 163 खामियों में WebKit, Apple के वेब रेंडरिंग इंजन, और तस्वीरें, फॉन्ट, PDF दस्तावेज़, ऑडियो और वीडियो प्रोसेस करने वाले घटकों की समस्याएं शामिल हैं। कुछ खामियों के कारण डिवाइस पर दुर्भावनापूर्ण सामग्री प्रोसेस होने पर कोड चलाया जा सकता था। अन्य खामियां ऐप्स को संवेदनशील डेटा हासिल करने या गोपनीयता सेटिंग को दरकिनार करने दे सकती थीं।

इन अपडेट में CVE-2026-86987 का सुधार भी है। यह Apple Intelligence की एक खामी है, जिससे दूर बैठा हमलावर समर्थित iPhones और iPads पर संवेदनशील जानकारी हासिल कर सकता था। अन्य सुधार WebContent सैंडबॉक्स से बाहर निकलने की खामियों को ठीक करते हैं। सैंडबॉक्स एक सीमित वातावरण है, जिसका मकसद वेब सामग्री को सिस्टम के बाकी हिस्सों से अलग रखना है।

अन्य सुधारों में Kerberos प्रमाणीकरण सर्वर का रूप धरने और पास में मौजूद हमलावर के Thread नेटवर्क तक पहुंचने की खामियां शामिल हैं। Kerberos सिस्टम को पहचान की पुष्टि करने में मदद करता है, जबकि Thread स्मार्ट होम उपकरणों समेत संगत डिवाइस को जोड़ता है।

iOS 27.2, iPhone 11 और उसके बाद के मॉडल पर काम करता है। iPadOS 27.2 चौथी पीढ़ी के 12.9 इंच iPad Pro, दूसरी पीढ़ी के 11 इंच iPad Pro, चौथी पीढ़ी के iPad Air, नौवीं पीढ़ी के iPad और छठी पीढ़ी के iPad mini, तथा इन श्रृंखलाओं के बाद के मॉडलों को सपोर्ट करता है। 26.7.2 शाखा कुछ पुराने iPads को भी कवर करती है, जिनमें आठवीं पीढ़ी का iPad, तीसरी पीढ़ी का iPad Air और पांचवीं पीढ़ी का iPad mini शामिल हैं।

Mac के सुधार दूरस्थ पहुंच और सिस्टम नियंत्रण से जुड़े जोखिम दूर करते हैं

macOS Golden Gate 27.2 में सबसे ज्यादा, 263 खामियों के सुधार हैं। इनमें एक दर्जन से अधिक ऐसी खामियां शामिल हैं, जिनसे ऐप्स Mac पर root access हासिल कर सकते थे। यह Mac पर नियंत्रण का सर्वोच्च स्तर है।

Apple ने सैंडबॉक्स से बाहर निकलने, Gatekeeper को दरकिनार करने और फाइल सिस्टम व डिस्क इमेज संभालने वाले घटकों में मेमोरी करप्शन की समस्याएं भी ठीक कीं। Gatekeeper डाउनलोड किए गए सॉफ्टवेयर को चलने से पहले जांचता है और उपयोगकर्ताओं को अविश्वसनीय ऐप्स से बचाने में मदद करता है।

Screen Sharing, Remote Management और SMB, यानी नेटवर्क पर फाइल साझा करने वाले प्रोटोकॉल, के लिए भी सुधार जारी किए गए हैं। कुछ खामियों पर दूर से या स्थानीय नेटवर्क से हमला किया जा सकता था। Remote Management की एक खामी दूर बैठे हमलावर को कोड चलाने दे सकती थी। इसलिए नेटवर्क पर Mac का प्रबंधन करने वाले संगठनों के लिए यह अपडेट खास तौर पर जरूरी है।

macOS Tahoe 26.7.2 में 213 खामियों और macOS Sequoia 15.8.2 में 197 खामियों के सुधार हैं। Tahoe अपडेट में CVE-2026-43736 भी शामिल है। यह Siri की एक खामी है, जिससे कोई ऐप संवेदनशील उपयोगकर्ता जानकारी हासिल कर सकता था।

Safari 27.2, macOS Sequoia और macOS Tahoe के लिए अलग से उपलब्ध है और इसमें 33 खामियों के सुधार हैं। इससे इन Mac ऑपरेटिंग सिस्टम पर बने रहने वाले उपयोगकर्ताओं को संबंधित सिस्टम सुधारों के साथ ब्राउज़र अपडेट भी मिलता है।

घड़ियों, टीवी और हेडसेट के लिए भी अपडेट

Apple के अक्टूबर अपडेट केवल फोन और कंप्यूटर तक सीमित नहीं हैं। watchOS 27.2 में 62 खामियों के सुधार हैं और यह Apple Watch Series 9 तथा उसके बाद के मॉडलों को सपोर्ट करता है। visionOS 27.2 में 125 खामियों के सुधार हैं और यह सभी Apple Vision Pro मॉडलों के लिए उपलब्ध है।

tvOS 27.2 में दूसरी पीढ़ी के Apple TV 4K और उसके बाद के मॉडलों के लिए 72 खामियों के सुधार हैं। Apple TV HD और पहली पीढ़ी के Apple TV 4K को इसके बजाय tvOS 26.6.1 मिलता है। Apple के मुताबिक इसमें CVE प्रविष्टियां प्रकाशित नहीं की गई हैं।

CVE नंबर सुरक्षा खामियों को ट्रैक करने के लिए इस्तेमाल होने वाली सार्वजनिक पहचान संख्याएं हैं। Apple की सूची हार्डवेयर संगतता को इन पहचानों से अलग रखती है, इसलिए यह तय करते समय डिवाइस का सटीक मॉडल जांचना जरूरी है कि कौन-सा अपडेट लागू होता है। घर या कार्यस्थल में केवल फोन अपडेट करने से घड़ियां, टीवी, हेडसेट और कंप्यूटर अपने पुराने सॉफ्टवेयर पर ही रहेंगे।

Apple ने eMudhra प्रमाणपत्र क्यों ब्लॉक किए

23 अक्टूबर को प्रकाशित Apple की eMudhra सुरक्षा सूचना में eMudhra द्वारा संचालित आठ इंटरमीडिएट प्रमाणपत्र प्राधिकरणों की निजी कुंजियों से जुड़ी अलग समस्या का ब्योरा है। इनमें से छह ने वेबसाइटों के TLS प्रमाणपत्र जारी किए थे और दो ने सॉफ्टवेयर पर हस्ताक्षर करने वाले प्रमाणपत्र जारी किए थे।

वेबसाइट प्रमाणपत्र पहचान-पत्र की तरह काम करता है। प्रमाणपत्र प्राधिकरण उस पर हस्ताक्षर करता है, ताकि सॉफ्टवेयर जांच सके कि कनेक्शन सही वेबसाइट से जुड़ा है। इंटरमीडिएट प्राधिकरण की निजी कुंजी रखने वाला व्यक्ति ऐसे प्रमाणपत्र बना सकता है जो दूसरी वेबसाइटों के लिए वैध दिखाई दें।

eMudhra की कुंजियां बहुत कम रैंडमनेस के साथ बनाई गई थीं, इसलिए सार्वजनिक प्रमाणपत्रों से उनकी गणना की जा सकती थी। सुरक्षा शोधकर्ता Scott Helme ने बताया कि उन्होंने आठों कुंजियां एक सेकंड से भी कम समय में हासिल कर लीं। eMudhra ने इस कमजोरी के लिए 30 अप्रैल, 2025 को कुंजी बनाने की प्रक्रिया के दौरान आई समस्या को जिम्मेदार बताया। कंपनी के मुताबिक प्रभावित इंटरमीडिएट प्रमाणपत्रों में से केवल एक को उत्पादन में इस्तेमाल किया गया था और किसी ने भी अंतिम उपयोगकर्ताओं को प्रमाणपत्र जारी नहीं किए थे।

एक शोधकर्ता ने 17 अक्टूबर को इस समस्या की जानकारी दी। Apple ने 19 अक्टूबर को प्रभावित 12 TLS प्रमाणपत्र ब्लॉक करना शुरू किया और फिर 23 अक्टूबर को emSign ECC Root CA - G3 को भी ब्लॉक कर दिया। TLS प्रमाणपत्र 12 इसलिए हैं, क्योंकि छह प्रभावित TLS प्राधिकरणों में से हर एक के दो संस्करण हैं, जो उन्हें अलग-अलग विश्वसनीय root प्रमाणपत्रों से जोड़ते हैं। eMudhra और Sectigo ने प्रभावित प्रमाणपत्र रद्द कर दिए।

Chrome, Firefox और Android में भी ब्लॉक करने के उपाय किए गए। सॉफ्टवेयर परियोजनाओं और ऑपरेटिंग सिस्टम आपूर्तिकर्ताओं ने अपने प्रमाणपत्र स्टोर के लिए बदलाव जारी किए। eMudhra की कुंजियों के दुर्भावनापूर्ण इस्तेमाल की पुष्टि नहीं हुई थी। Apple के स्वचालित ब्लॉक Safari, Mail और उसके नेटवर्किंग व सुरक्षा फ्रेमवर्क इस्तेमाल करने वाले ऐप्स तक पहुंचते हैं। इसके लिए उपयोगकर्ताओं को ऑपरेटिंग सिस्टम अपडेट इंस्टॉल करने की जरूरत नहीं है।

Mac के कुछ टूल के लिए अलग कदम जरूरी

Mac प्रशासकों और डेवलपरों के सामने अब एक सीमित समस्या बाकी है। macOS या Xcode Command Line Tools के साथ आने वाले कुछ टूल, जिनमें curl, git, python3, ruby, perl और openssl शामिल हैं, प्रमाणपत्रों की जांच /etc/ssl/cert.pem के आधार पर करते हैं। इस फाइल के जरिए विश्वसनीय मानी गई प्रमाणपत्र श्रृंखलाओं के लिए ये टूल Apple के प्रमाणपत्र ब्लॉक या निरस्तीकरण की स्थिति नहीं जांचते।

Apple ने कहा है कि भविष्य का एक सॉफ्टवेयर अपडेट इस फाइल को बदलेगा, लेकिन रिलीज़ की तारीख नहीं बताई। जो प्रशासक पहले कदम उठाना चाहते हैं, वे Apple के निर्देशों का पालन करके फाइल का बैकअप बना सकते हैं और संबंधित root प्रमाणपत्र हटा सकते हैं।

emSign ECC Root CA - G3 हटाने से भरोसे का एक रास्ता बंद हो जाता है। Apple की सूचना के मुताबिक Sectigo के क्रॉस-साइन किए गए प्रमाणपत्र अब भी AAA Certificate Services के जरिए स्वीकार किए जा सकते हैं, इसलिए प्रशासक चाहें तो उस root को भी हटा सकते हैं। Root प्रमाणपत्र हटाने से इस फाइल पर निर्भर सभी टूल प्रभावित होते हैं और उन वैध वेबसाइटों के कनेक्शन बाधित हो सकते हैं जो उन root प्रमाणपत्रों के तहत जारी अन्य प्रमाणपत्र इस्तेमाल करती हैं।

बाद का macOS अपडेट /etc/ssl/cert.pem को बदल सकता है। इसलिए अस्थायी उपाय अपनाने वाले प्रशासकों को Apple का स्थायी बदलाव आने तक हर अपडेट के बाद यह फाइल जांचनी चाहिए। अपनी प्रमाणपत्र सूचियां रखने वाले ऐप्स पर उनके डेवलपरों को अलग से ध्यान देना होगा।

Apple डिवाइस के ज्यादातर मालिकों को प्रमाणपत्र फाइलों में बदलाव करने की जरूरत नहीं है। उन्हें अपने डिवाइस के लिए उपयुक्त सुरक्षा अपडेट इंस्टॉल करना चाहिए। संगठनों को दूरस्थ प्रबंधन सेवाओं, डेवलपर टूल और अपनी भरोसा-सूचियां रखने वाले ऐप्स की भी जांच करनी चाहिए। Apple ने व्यापक अपडेट में कई खामियों का पता लगाने का श्रेय AI टूल और शोध टीमों को दिया। इससे पता चलता है कि सुरक्षा परीक्षण एक साथ कई साझा घटकों में समस्याएं खोज रहा है।

मुख्य बिंदु

• Apple ने 26 अक्टूबर, 2026 को अपने प्रमुख ऑपरेटिंग सिस्टम और Safari के लिए 11 सुरक्षा अपडेट जारी किए।
• iOS 18.7.11 और iPadOS 18.7.11 में शोषित CoreGraphics खामी का सुधार iPhone XS, XS Max, XR और सातवीं पीढ़ी के iPad के लिए शामिल है।
• इन रिलीज़ में खामियों की 1,265 प्रविष्टियां हैं, जो साझा सॉफ्टवेयर घटकों में कम से कम 329 अलग-अलग खामियों को दर्शाती हैं।
• Mac के सुधारों में दूरस्थ पहुंच से जुड़ी खामियां शामिल हैं। अन्य सुधार संवेदनशील डेटा और कैमरा अनुमतियों की सुरक्षा करते हैं।
• Apple Safari, Mail और अपने सुरक्षा फ्रेमवर्क इस्तेमाल करने वाले ऐप्स में eMudhra के प्रभावित वेब प्रमाणपत्रों को अपने आप ब्लॉक करता है।
• Mac के कुछ कमांड लाइन टूल के लिए प्रमाणपत्र फाइल का भविष्य का अपडेट या प्रशासक द्वारा अपनाया जाने वाला वैकल्पिक उपाय जरूरी है।