Sebastian Juul
Apple har lukket et iMessage-hul, der kunne lade en fremmed læse med i dine gruppechats uden invitation.
Opdateringen gik live i går, mandag den 9. november, som iOS 27.2.1, iPadOS 27.2.1 og macOS 27.2.1. Den lukker i alt ni sikkerhedsfejl, oplyser Apple i sit sikkerhedsdokument, og to af dem sidder i Beskeder-appen, som en stor del af danske iPhone-ejere bruger hver dag.
Den mest alvorlige af de to er registreret som CVE-2026-113961 og var en autorisationsfejl. Fejlen gjorde det muligt for en angriber på afstand at tilslutte sig en iMessage-gruppechat og modtage alle beskeder sendt i den, uden at nogen havde sendt en invitation. Den anden iMessage-fejl, CVE-2026-113960, betød, at en person, der blev tilføjet en gruppe, kunne tilgå beskeder sendt før vedkommende kom med. Apple har fjernet den sårbare kode og strammet autorisationen med bedre validering.
Bluetooth-fejl lod enheder parre sig selv
Ved siden af iMessage-hullerne har Apple lukket flere Bluetooth-relaterede fejl, der bekymrer mindst lige så meget. En fejl i komponenten CoreUtils kunne lade en ondsindet Bluetooth-enhed etablere en parring helt uden handling fra brugeren. En anden, CVE-2026-113970, kunne lade en angriber inden for Bluetooth-rækkevidde korrumpere hukommelsen på enheden via en såkaldt use-after-free-fejl.
Dertil kommer en AirPlay-fejl (CVE-2026-113968), der lod en angriber i Bluetooth-rækkevidde omgå grænsen for, hvor mange gange et parrings-kode-forsøg må mislykkes. I praksis betyder det, at det blev lettere at gætte sig frem til en parring. Resten af listen tæller blandt andet en fejl i App Intents, hvor en app kunne tilgå følsomme brugerdata uden korrekt godkendelse, samt en hukommelsesfejl i kompressionsbiblioteket brotli.
Ingen tegn på udnyttelse, men hastigt lukket
Apple skriver i sikkerhedsdokumentet, at der ikke er rapporter om, at nogen af fejlene er blevet aktivt udnyttet. Flere af hullerne er fundet internt af Apples egne sikkerhedsfolk, hvilket fremgår af krediteringen i dokumentet. At hullerne alligevel bliver lukket med en hurtig punktopdatering frem for at vente på næste store udgave, afspejler, at angrebsflader som en fjernadgang til gruppechats og en selvudløsende Bluetooth-parring ikke kan ligge åbent længe.
iOS 27.2.1 kører på de iPhones, der i forvejen kunne opdatere til hovedudgaven iOS 27. Til ældre iPhones har Apple samtidig udsendt parallelle sikkerhedsopdateringer i iOS 26.7.3-grenen og iOS 18.7.12-grenen, så også iPhone XS, XS Max og XR er dækket.
Sådan henter du opdateringen
Du åbner Indstillinger, går ind under Generelt og vælger Softwareopdatering. Her bør iOS 27.2.1 vises som en tilgængelig opdatering, hvis din iPhone ikke allerede har hentet den automatisk. Installationen tager typisk få minutter inklusive genstart, og telefonen skal være sat til strøm eller have mindst halvt batteri.
Fordi angreb som en fjern-tilslutning til en gruppechat eller en Bluetooth-parring uden samtykke kan ske uden, at du gør noget forkert, er det en opdatering, der er værd at trykke installer på med det samme.
