Lỗ hổng zero-day đầu tiên của Apple bị khai thác, ảnh hưởng iPhone, Mac và nhiều thiết bị khác

[WhiteHat Team]

Apple vừa phát hành loạt bản cập nhật cho iOS, iPadOS, macOS, tvOS, watchOS và visionOS để khắc phục một lỗ hổng zero-day đang bị tin tặc khai thác trong các cuộc tấn công có chủ đích. Lỗ hổng này được định danh CVE-2026-20700, thuộc nhóm lỗi hỏng bộ nhớ trong thành phần dyld, một cơ chế quan trọng của hệ điều hành giúp nạp và liên kết các thư viện khi ứng dụng chạy. Nói đơn giản nếu bị lợi dụng, kẻ tấn công có thể chèn và chạy mã độc trên thiết bị, từ đó chiếm quyền kiểm soát ở mức độ nhất định.
​

​

Apple cho biết lỗ hổng này chưa có điểm CVSS, đã bị khai thác trên các phiên bản iOS trước iOS 26 trong những chiến dịch tấn công “đánh trúng đích”, tức là nhắm vào một số cá nhân cụ thể thay vì phát tán ồ ạt. Dù không phải mọi người dùng đều bị nhắm tới, rủi ro của dạng lỗ hổng zero-day rất đáng lo ngại vì tin tặc có thể khai thác trước khi nhà sản xuất kịp vá lỗi.

Cùng với bản vá lần này, Apple cũng nhắc lại 2 lỗ hổng nghiêm trọng đã được khắc phục vào cuối năm 2025 gồm CVE-2025-14174 và CVE-2025-43529. Lỗ hổng CVE-2025-14174 liên quan đến lỗi truy cập vượt giới hạn bộ nhớ trong thành phần đồ họa ANGLE khi kết xuất qua nền tảng Metal, có thể bị lợi dụng để can thiệp trái phép vào bộ nhớ của hệ thống. Trong khi đó, CVE-2025-43529 là lỗi “use-after-free” trong WebKit - bộ máy hiển thị trang web của Safari và nhiều ứng dụng trên hệ sinh thái Apple cho phép kẻ tấn công thực thi mã khi người dùng truy cập vào nội dung web độc hại. Những lỗ hổng dạng này thường bị khai thác thông qua trang web hoặc nội dung trực tuyến, khiến người dùng có nguy cơ bị tấn công chỉ bằng thao tác truy cập thông thường.

Bản cập nhật hiện đã có cho các phiên bản hệ điều hành mới nhất trên iPhone, iPad, Mac, Apple TV, Apple Watch và Vision Pro. Đồng thời, Apple cũng phát hành bản vá cho một số phiên bản hệ điều hành cũ hơn và trình duyệt Safari để bảo vệ người dùng chưa thể nâng cấp ngay.

Đây là zero-day đầu tiên mà Apple xác nhận bị khai thác và vá trong năm 2026, phản ánh nguy cơ tin tặc lợi dụng lỗi phần mềm ngay cả trên các hệ điều hành lớn. Khi nhiều nền tảng và phần mềm khác cũng ghi nhận zero-day bị khai thác, người dùng nên cập nhật hệ điều hành và trình duyệt ngay khi có bản vá để giảm rủi ro, đồng thời thận trọng khi cài ứng dụng ngoài kho chính thức và mở liên kết, tệp đính kèm không rõ nguồn gốc.
​

Theo The Hacker News​