Sebuah kerentanan pada iMessage berpotensi memberi celah bagi peretas jarak jauh untuk menyusup ke obrolan grup serta menerima pesan, ungkap Apple kemarin saat meluncurkan pembaruan perangkat lunak. Pembaruan tersebut sekaligus mengatasi kelemahan terpisah pada iMessage yang dapat mengizinkan anggota baru membaca riwayat pesan yang terkirim sebelum mereka bergabung.
Hingga hari ini, rangkaian rilis pembaruan kemarin untuk perangkat iPhone XS, XS Max, XR, iPad generasi ketujuh, serta sejumlah model Apple Watch tidak mencantumkan kedua perbaikan masalah tersebut.
Catatan rilis dari Apple tidak menjelaskan apakah kedua kerentanan itu telah dimanfaatkan penyerang, hal apa saja yang dibutuhkan pelaku, apakah peserta grup dapat menyadari kehadiran penyusup, atau apakah seluruh anggota wajib memperbarui sistem agar sepenuhnya terlindungi.
Selain masalah pada iMessage, paket pembaruan ini menambal kelemahan pada pustaka kompresi Brotli milik Google. Dokumen rilis tidak menyinggung adanya serangan aktif yang memanfaatkan celah tersebut. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah memasukkannya ke katalog Kerentanan yang Diketahui Tereksploitasi sejak 27 Oktober.
Kerentanan yang memungkinkan penyusup jarak jauh masuk ke obrolan grup diklasifikasikan sebagai CVE-2026-113961. Masalah otorisasi ini diselesaikan melalui peningkatan validasi sistem. Sementara itu, celah terkait akses pesan terdahulu terdaftar dengan kode CVE-2026-113960.
Daftar Pembaruan yang Memuat Perbaikan
Masing-masing versi sistem operasi menerima paket pembaruan tersendiri. Pengumuman keamanan untuk iOS dan iPadOS 27.2.1 memaparkan ketiga celah tersebut secara terperinci. Halaman rilis keamanan Apple turut menyediakan tautan menuju catatan perubahan pada setiap pembaruan.
Di sisi lain, catatan pembaruan untuk iOS 18.7.12 serta watchOS 26.6.1 hanya memuat perbaikan keamanan lain, tanpa menyebutkan penanganan pada iMessage maupun Brotli.
Pihak produsen tidak memberikan keterangan apakah perangkat dengan versi lawas tersebut terdampak oleh ketiga masalah ini. Catatan rilis juga tidak menyediakan solusi alternatif bagi para pemilik perangkat yang belum dapat segera memperbarui sistemnya.
Celah Brotli, yang bernomor CVE-2026-111497, merupakan gangguan penulisan di luar batas memori pada dekoder pustaka, yang berpotensi merusak memori melalui masukan berbahaya. Laporan CISA menetapkan Brotli Google sebagai produk terdampak dan mengingatkan bahwa beragam aplikasi memanfaatkan modul tersebut.
Seluruh sembilan rilis pembaruan turut membereskan kerentanan Bluetooth dan AirPlay. Dua di antaranya memungkinkan perangkat asing atau penyerang dalam radius nirkabel melakukan pemasangan tanpa persetujuan pengguna. Apple tidak menguraikan tindakan yang dapat dijalankan perangkat setelah terhubung.
Dua celah lain dapat membuka jalan bagi peretas untuk menerobos batas percobaan kode sandi Bluetooth, baik dari jarak dekat maupun jaringan yang sama. Satu celah lainnya memicu kerusakan memori proses oleh penyerang di jangkauan koneksi.
