Перед установкой iOS 27 стоит обновиться до iOS 26.6

27 июля Apple выпустила iOS 26.6 и iPadOS 26.6 — как раз тогда, когда внимание пользователей переключается на публичную бету iOS 27. Это не релиз с заметной новой функцией: в бюллетене Apple перечислены исправления для специальных возможностей, Accounts Framework, CoreAudio, ядра, Safari, WebKit и других компонентов.

Apple не вынесла единое число исправлений в заголовок, однако список содержит десятки пунктов. Один из них касается iPhone 11 и более новых моделей: злоумышленник с физическим доступом мог получить доступ к чувствительным данным во время повтора экрана iPhone. Apple сообщает, что устранила проблему улучшением управления состояниями. Исправлены также риски вредоносного контента, повышения привилегий и работы с памятью.

Обновление важно и для тех, кто тестирует iOS 27. У стабильной ветки свои исправления безопасности, а бета-версия несёт другой уровень риска и не заменяет обновление рабочего iPhone или iPad. Перед установкой стоит сделать резервную копию и открыть «Настройки» > «Основные» > «Обновление ПО».

iOS 27 заметнее в новостях, но непосредственную брешь в безопасности закрывает именно iOS 26.6. Если устройство не предназначено специально для тестирования, разумнее установить стабильную версию до экспериментов со следующим крупным релизом Apple.

Чтение бюллетеня безопасности Apple требует небольшой расшифровки. Каждая запись содержит идентификатор CVE, затронутый компонент и однострочное описание последствий, но технические детали Apple намеренно опускает и, следуя давней политике, не обсуждает уязвимости, пока расследование не завершено и исправление не доступно. Лаконичный формат — сознательный выбор: он подтверждает, что именно исправлено, не вручая злоумышленникам инструкцию по атаке на ещё не обновлённые устройства.

Два названия компонентов в списке заслуживают особого внимания. WebKit — это движок, отрисовывающий веб-контент в Safari и во встроенных браузерах, используемых по всей iOS, что делает его самой уязвимой частью системы: любая вредоносная страница — потенциальный канал доставки. Уязвимости ядра находятся на другом конце цепочки: они касаются сердцевины операционной системы, где успешная эксплуатация даёт самый глубокий уровень контроля. Реальные атаки исторически сочетали оба звена — браузерная ошибка для проникновения, ошибка ядра для захвата, — поэтому обновление, закрывающее сразу оба уровня, стоит установить без промедления.

Есть и аргумент от времени в пользу того, чтобы не ждать. После публикации бюллетеня исследователи безопасности — и злоумышленники — могут сравнить исправленный и неисправленный код и точно определить, что изменилось; эта практика называется patch diffing. Исторически окно между выходом исправления и появлением рабочих эксплойтов постоянно сужается, а значит, сама публикация бюллетеня iOS 26.6 — уже повод обновиться раньше, а не позже.

Модель обслуживания Apple даёт отстающим некоторую страховку. Компания регулярно переносит избранные исправления в старые ветки iOS для устройств, которые не могут двигаться дальше, а в 2023 году ввела «Оперативные исправления» (Rapid Security Responses) именно для того, чтобы узкие срочные патчи выходили между полноценными промежуточными релизами. Однако ни один из этих механизмов не заменяет актуальную версию на поддерживающем её оборудовании. Устройства на старых ветках получают лишь те исправления, которые Apple решает перенести, — как правило, лишь часть того, что достаётся текущему релизу, — поэтому самая надёжная защита — оставаться на актуальной версии на поддерживаемом оборудовании.

У этого обновления есть и долгосрочное значение. Исторически последние промежуточные версии поколения iOS становятся «версией покоя» для iPhone и iPad, не попавших в следующий крупный релиз. Если какие-то устройства не пройдут отбор в iOS 27, именно ветка 26.x — и такие сервисные выпуски, как этот, — будет защищать их ещё долгие годы.

Для большинства разумная настройка — автоматизация: включите автоматические обновления в «Настройках», чтобы подобные релизы устанавливались ночью, поддерживайте актуальную резервную копию в iCloud или на компьютере и оставляйте бета-версии для оборудования, которому не страшны сюрпризы. Пользователи с повышенным риском — журналисты, активисты, руководители — могут дополнительно рассмотреть «Режим блокировки» (Lockdown Mode), усиленный защитный профиль, доступный со времён iOS 16, в дополнение к актуальной стабильной версии.