Julkinen iOS-haavoittuvuus antaa haitallisen sovelluksen lukea muiden sovellusten tiedostoja – Applen tuore päivitys ei mainitse korjausta
Hyökkäys vaatii puhelimeen asennetun haitallisen sovelluksen, eikä varkauksia tai hyväksikäyttöä ole raportoitu, mutta toimiva esimerkkitoteutus on julkinen.
Tiivistelmä
GitHubissa on julkaistu toimiva esimerkkitoteutus iOS-haavoittuvuudesta, jolla haitallinen sovellus pääsee lukemaan muiden sovellusten tiedostoja. Applen maanantaina julkaisemien päivitysten tiedoissa ei mainita korjausta, eikä kukaan ole julkaissut testiä uusilla versioilla. Riski koskee lähinnä App Storen ulkopuolelta asennettuja sovelluksia, ja kryptolompakoiden avainten vuotamista ei ole osoitettu.
Tuore iPhone-haavoittuvuus ei laukea pelkästä viestistä tai verkkosivusta, vaan reitiksi tarvitaan puhelimeen itse asennettu sovellus, lähinnä App Storen ulkopuolelta ladattu.
GitHubissa julkaistiin tietoturvasivustojen tietojen perusteella sunnuntaina 8. marraskuuta toimiva esimerkkitoteutus, jolla sovellus pääsee lukemaan toisten sovellusten tiedostoja, ja sen päälle on jo rakennettu valmis työkalu.
Apple julkaisi iPhonen ja iPadin päivitykset maanantaina 9. marraskuuta. Niiden tiedoissa ei mainita yhtään hiekkalaatikkoa tai sovellusten säiliöitä koskevaa korjausta.
Mitä haavoittuvuudesta tiedetään
Haavoittuvuus kulkee nimellä worse_query, ja sen julkaisi nimimerkkiä forcequitOS käyttävä kehittäjä. GitHub-sivun kuvauksessa puhutaan hiekkalaatikosta karkaamisesta, joka koskee iOS-versioita 26.0–26.7.2 ja 27.2.
Tekijä kuvaa julkaisua kehittäjille tarkoitetuksi esimerkkitoteutukseksi, josta ei sellaisenaan ole hyötyä.
Hiekkalaatikko (sandbox)
iOS pitää jokaisen sovelluksen tiedostot omassa suljetussa säiliössään, jota muut sovellukset eivät pääse lukemaan. Hiekkalaatikosta karkaaminen on virhe, jonka avulla yksi sovellus yltää toisen sovelluksen säiliöön.
Esimerkin pohjalta on kuitenkin tehty tiedostoselain, jolla voi selata, muokata ja poistaa muiden sovellusten tietoja. Sen dokumentaatiossa kerrotaan, että työkalua on testattu iOS-versioilla 26.7.1, 27.0.1 ja 27.2.
Hyökkäys edellyttää, että haitallinen sovellus on jo puhelimessa. Käytännössä kyse on App Storen ulkopuolelta asennetusta sovelluksesta, eikä jailbreakia eli puhelimen suojausten murtamista tarvita.
EU:ssa iPhonen käyttäjä voi asentaa sovelluksia vaihtoehtoisista sovelluskaupoista ja sivulataamalla, joten haavoittuvuuden tarvitsema reitti on auki myös Suomessa.
Sitä, voisiko App Storen tarkastuksen läpäissyt sovellus käyttää haavoittuvuutta, ei ole vahvistettu.
Lompakkovaroitus kulkee näytön edellä
Kryptopörssi Binance varoitti haavoittuvuudesta X-palvelussa tiistaina 10. marraskuuta.
Varoituksessa kerrottiin BleepingComputerin mukaan, että haavoittuvuus koskee iOS-versioita 26.7.1, 27.0.1 ja 27.2, antaa haitallisten sovellusten lukea muiden sovellusten paikallisia tiedostoja ja on iOS-tason ongelma, joka ei liity erityisesti Binanceen.
Binance ei löytänyt haavoittuvuutta vaan välitti tiedon julkisesta esimerkkitoteutuksesta. Sen versiolista vastaa työkalun testiversioita, kun taas tekijä itse ilmoittaa laajemman haarukan.
Otsikoissa on sanottu, että haavoittuvuus voisi vuotaa kryptolompakoiden avaimet. Yhdenkään lompakkosovelluksen ei ole osoitettu säilyttävän salaisuuksiaan paikassa, johon haavoittuvuus ulottuu, eivätkä uutiset käsittele iOS:n Keychain-avainnippuun tallennettuja salaisuuksia.
Haavoittuvuudella ei ole CVE-tunnistetta, Apple ei ole julkaissut siitä tiedotetta, eikä hyväksikäytöstä tai varkauksista ole raportoitu.
Päivitys kannattaa asentaa joka tapauksessa
Maanantaina julkaistiin iOS ja iPadOS 27.2.1, 26.7.3 ja 18.7.12 sekä päivitykset macOS-, watchOS- ja visionOS-järjestelmiin. Applen tiedoissa versio 27.2.1 korjaa yhdeksän haavoittuvuutta ja versio 18.7.12 kuusi.
Yksi korjauksista, tunnisteeltaan CVE-2026-113963, koskee sovellusten tietoja App Intents -toiminnossa.
BleepingComputer toteaa, että on epäselvää, liittyykö se worse_queryyn.
Kukaan ei ole julkaissut testiä siitä, toimiiko esimerkkitoteutus uusissa versioissa. Väite, että päivitys korjaa vian, on yhtä todistamaton kuin väite, ettei se korjaa.
Asentamiseen on muukin syy.
Päivityksissä korjataan kaksi iMessagen haavoittuvuutta, joista toinen olisi voinut päästää etähyökkääjän liittymään ryhmäkeskusteluun ja vastaanottamaan sen viestit. Toisen avulla ryhmään lisätty uusi jäsen olisi voinut nähdä ennen liittymistään lähetettyjä viestejä.
Kumpaakaan iMessage-korjausta ei mainita version 18.7.12 tiedoissa. Apple ei kerro, että yhtäkään nyt korjatuista haavoittuvuuksista olisi käytetty hyväksi.
Päivityksistä kertoi Suomessa tiistaina Mobiili.fi.
Kyberturvallisuuskeskus ei ole julkaissut haavoittuvuustiedotetta Applen päivityksistä eikä worse_querystä. Sen tuorein haavoittuvuustiedote on 21. lokakuuta.
Paikattavaa on samalla viikolla muuallakin. Krebs on Security kertoo, että Microsoftin tiistaina julkaisema marraskuun päivitys korjasi 1 093 haavoittuvuutta, ja niistä Outlookin väärennyshaavoittuvuutta on Microsoftin merkinnän perusteella jo käytetty hyväksi.
Mitä tehdä
- Asenna laitteellesi saatavilla oleva uusin iOS-versio eli 27.2.1, 26.7.3 tai 18.7.12 kohdasta Asetukset → Yleiset → Ohjelmistopäivitys.
- Poista App Storen ulkopuolelta asennetut sovellukset ainakin puhelimesta, jossa on kryptolompakko tai kryptopörssin sovellus.
- Älä asenna sovelluksia viestien linkeistä, Telegram-ryhmistä tai beetatestikutsuista.
- Älä säilytä lompakon palautuslausetta puhelimen kuvissa, muistiinpanoissa tai tiedostoissa, ja pidä suuremmat varat laitelompakossa. Tarkemmat ohjeet ovat palautuslauseen suojaamisen oppaassa.
- Jos epäilet, että puhelimessa on ollut haitallinen sovellus, Binance neuvoo uutistietojen mukaan siirtämään varat uuteen, puhtaalla laitteella luotuun lompakkoon ja lopettamaan kaikki aktiiviset kirjautumisistunnot.
- Jos varoja on jo viety, tee rikosilmoitus poliisi.fi-palvelussa.
Lähteet
- GitHub: forcequitOS/worse_query (08.11.2026)
- Apple Security Releases: iOS 27.2.1 ja iPadOS 27.2.1 (09.11.2026)
- Apple Security Releases: iOS 26.7.3 ja iPadOS 26.7.3 (09.11.2026)
- Apple Security Releases: iOS 18.7.12 ja iPadOS 18.7.12 (09.11.2026)
- BleepingComputer (10.11.2026)
- Krebs on Security (10.11.2026)
- Mobiili.fi (10.11.2026)