Apple-hul udnyttet i angreb: Opdater din iPhone nu

Apple udsendte den 28. september 2026 en sikkerhedsopdatering, der lukker et hul, som allerede er blevet brugt i virkelige angreb. Fejlen sidder i CoreGraphics — den komponent i iOS, iPadOS og macOS, der tegner billeder og dokumenter på skærmen — og den har fået nummeret CVE-2026-86950. Rettelsen ligger i iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 og macOS Sequoia 15.8.1.

Men inden du får sved på panden: det her er ikke et angreb mod alle iPhone-ejere. Apple skriver selv, at selskabet er "aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27." Den sidste del af sætningen er den vigtigste, og den er blevet overset i det meste af dækningen: iOS 27 var aldrig sårbar. Det er iPhone-ejere, der stadig sidder på iOS 26, der skal handle.

Hvad er det egentlig for et hul?

Teknisk set er CVE-2026-86950 en såkaldt out-of-bounds write — en skrivefejl, hvor programmet skriver data uden for det hukommelsesområde, det har fået lov til at bruge. Apple beskriver rettelsen som "improved bounds checking", altså at systemet nu kontrollerer grænserne ordentligt, før det skriver.

Konsekvensen, hvis fejlen udnyttes, er alvorlig: behandling af en ondsindet fremstillet fil kan føre til arbitrary code execution — kørsel af angriberens egen kode på enheden. Og fordi CoreGraphics er det lag, der åbner billeder og PDF-filer, behøver offeret i praksis ikke at gøre ret meget. En fil, der ankommer og bliver vist, kan være nok.

Fejlen blev fundet og rapporteret af Meta Product Security, som Apple krediterer direkte i sin egen sikkerhedsbulletin for iOS 26.7.1. Det er værd at hæfte sig ved, at det er en sikkerhedsafdeling hos en konkurrent, der har fundet hullet — den slags sker typisk, når et firma undersøger angreb mod sine egne brugere og sporer dem tilbage til platformen.

Hvorfor det er iOS 26-brugerne, der er udsatte

Her ligger den danske vinkel, og den er ikke tilfældig. Apple lukkede den 21. september 2026 vinduet for at gå tilbage til iOS 26 fra iOS 27. Den gruppe, der på det tidspunkt bevidst blev på iOS 26 — fordi de ikke ville have iOS 27's ændringer, eller fordi de kører apps, der først skal godkendes til det nye system — er præcis den gruppe, Apples formulering peger på nu.

Det betyder ikke, at det var en fejl at blive på iOS 26. Apple har hele tiden udsendt sikkerhedsrettelser til iOS 26-grenen netop for dem, der ikke ville springe. Men det betyder, at de rettelser skal installeres, og at man ikke kan læne sig tilbage og regne med, at "jeg opdaterer, når jeg engang skifter til iOS 27".

Hvis du er på iOS 26, skal du gå i Indstillinger → Generelt → Softwareopdatering og installere iOS 26.7.1. Er du allerede på iOS 27, er du ikke ramt af denne specifikke fejl.

Pas på: iOS 27.0.1 er ikke sikkerhedsopdateringen

Apple udsendte iOS 27.0.1 samme dag, den 28. september. Det er en fejlrettelsesopdatering til iOS 27 — ikke rettelsen af CoreGraphics-hullet. De to udgivelser er nemme at blande sammen, fordi de kom ud med få timers mellemrum, men de løser forskellige ting. Apples egen oversigt over sikkerhedsudgivelser er stedet at kontrollere, hvad der rent faktisk indeholder sikkerhedsindhold, hvis du er i tvivl.

Enhederne, der kan få rettelsen, er:

• iPhone 11 og nyere
• iPad Pro 12,9" (3. generation og nyere) og iPad Pro 11" (1. generation og nyere)
• iPad Air (3. generation og nyere), iPad (8. generation og nyere), iPad mini (5. generation og nyere)
• Mac med macOS Sequoia eller macOS Tahoe, via henholdsvis 15.8.1 og 26.7.1

Har du en ældre iPhone end iPhone 11, får du ikke rettelsen. Det er samme mønster, vi så med den upatchbare bootrom-fejl i A12- og A13-chips: når Apple stopper supporten, stopper rettelserne, uanset hvor alvorligt hullet er.

Er du et mål? Sandsynligvis ikke

Det er her, den ærlige vurdering hører hjemme. Formuleringen "specific targeted individuals" er Apples faste sprogbrug for målrettet spyware — den type angreb, hvor journalister, aktivister, diplomater og politiske modstandere bliver udvalgt enkeltvis og angrebet med værktøjer, der koster mange penge at udvikle. Det er det samme mønster, vi kender fra Pegasus-sagen mod NSO Group.

Det er ikke en bølge af angreb mod almindelige brugere. Der er ikke noget, der tyder på en kampagne rettet mod danske iPhone-ejere. Hvis du er en helt almindelig privatperson i Danmark, er sandsynligheden for, at nogen har brugt et angreb af denne kaliber mod netop dig, forsvindende lille.

Men argumentet for at opdatere alligevel er lige så enkelt: det koster dig ti minutter og ingenting. Og når først et hul er offentliggjort, bliver den tekniske beskrivelse studeret af andre end dem, der fandt det oprindeligt. Vinduet, hvor et zero-day kun bruges af én aktør mod få mål, lukker typisk hurtigt. Det samme gjaldt for eksempel sårbarheden i macOS Screen Sharing tidligere i år.

Konklusion

Opdater, hvis du er på iOS 26 eller iPadOS 26 — til 26.7.1. Opdater din Mac til macOS Tahoe 26.7.1 eller macOS Sequoia 15.8.1. Er du allerede på iOS 27, er du uden for denne sags rækkevidde, og iOS 27.0.1 er noget andet end sikkerhedsopdateringen.

Det, der er værd at holde øje med i de kommende uger, er, om Apple udvider beskrivelsen af CVE-2026-86950 med flere detaljer, og om Meta offentliggør, hvad selskabet fandt. Når en sikkerhedsafdeling hos et stort firma sporer et angreb tilbage til en platformsfejl, kommer der som regel en rapport bagefter. Indtil da er rådet det samme, som det altid er: installer rettelsen, og lad være med at regne med, at du er for uinteressant til at blive ramt af det næste hul.