Коротко о безопасности: ошибка камеры в iOS 27.2 всё ещё не заставляет меня купить шторку для камеры
Раздел «Security Bite» на 9to5Mac выходит при эксклюзивной поддержке Mosyle — единственной унифицированной платформы Apple. Мы занимаемся тем, чтобы устройства Apple были готовы к работе и защищены в корпоративной среде. Наш уникальный комплексный подход к управлению и безопасности объединяет передовые решения для защиты устройств Apple: полностью автоматизированные настройку и контроль соответствия требованиям, EDR нового поколения, Zero Trust на базе ИИ и эксклюзивное управление привилегиями — с самой мощной и современной системой MDM для Apple на рынке. Результат — полностью автоматизированная унифицированная платформа Apple, которой уже доверяют более 45 000 организаций: она помогает без усилий и по доступной цене подготовить к работе миллионы устройств Apple. Запросите РАСШИРЕННУЮ ПРОБНУЮ ВЕРСИЮ уже сегодня и узнайте, почему Mosyle — это всё, что нужно для работы с Apple.
В «Security Bite» я с особым удовольствием объясняю, почему шторки для камер сегодня практически бесполезны. Мне за это не раз доставалось. Поэтому, когда Apple устраняет ошибку, которая позволяет вредоносному приложению получить доступ к камере без разрешения, я оказываюсь в довольно щекотливом положении.
На этой неделе Apple выпустила для всех iOS 27.2, включающую более 160 исправлений уязвимостей. Одно из них устраняет ошибку, из-за которой вредоносное приложение могло получить доступ к камере iPhone или Mac без разрешения пользователя. Не сомневайтесь: дело не в аппаратной части. Изменение, внесённое Apple после 2008 года, благодаря которому модуль камеры и зелёный светодиодный индикатор подключены к одной цепи, тут ни при чём.
Ошибка, зарегистрированная под номером CVE-2026-86990 и обнаруженная исследователем Мустафой Каллапом, затрагивает CoreMedia — платформу, которую приложения используют для работы со звуком и видео. В примечаниях Apple сказано лишь, что «проблема с доступом устранена благодаря усилению ограничений».
Это означает, что запрос на разрешение — тот самый, в котором приложение спрашивает, можно ли ему использовать камеру, — мог полностью обходиться. На Mac за этим запросом отвечает система TCC (Transparency, Consent, and Control — прозрачность, согласие и контроль), привратник, который должен не пускать приложения к камере, пока вы не дадите разрешение.
Так что теперь я закажу шторку для камеры? Нет. Зелёный индикатор всё равно загорелся бы (на iPhone вместо физического светодиода это зелёная точка в строке состояния), потому что ошибка затрагивала запрос разрешения, а не сам индикатор. Проблема в том, что индикатор помогает, только если кто-то может его заметить. Если вас нет за рабочим столом или iPhone лежит на столе экраном вниз, ничто не помешает приложению получить прямую трансляцию происходящего вокруг.
Именно в такой ситуации могут пригодиться инструменты вроде OverSight Патрика Уордла. Это бесплатное приложение с открытым исходным кодом, которое оповещает каждый раз, когда включается камера или микрофон, и сообщает, какое приложение их активировало. Я использую его для ведения журнала активности на всех своих Mac. Пластиковая накладка на камеру на такое не способна, правда?
Apple не сообщала, что этой уязвимостью воспользовались в реальных атаках, и это хорошая новость. Тем не менее важно обновиться до iOS 27.2 и macOS Golden Gate 27.2, а если вы пока не переходите на новую ОС — до iOS 26.7.2 и macOS Tahoe 26.7.2. Для более старых iPhone, например XS и XR, обновление доступно в iOS 18.7.11.
А если вы давно этого не делали, самое время открыть на iPhone меню «Настройки» > «Конфиденциальность и безопасность» > «Камера» (на Mac — «Системные настройки» > «Конфиденциальность и безопасность» > «Камера») и посмотреть, каким приложениям вы действительно предоставили доступ. Возможно, вы удивитесь, обнаружив там приложения, которыми больше не пользуетесь или которые вам незнакомы.
«Security Bite» — еженедельный обзор 9to5Mac, посвящённый миру безопасности Apple. Каждую неделю Арин Вайчу́лис рассказывает о новых угрозах, проблемах конфиденциальности, уязвимостях и других событиях, влияющих на экосистему, в которой насчитывается более 2 млрд устройств. Раз в две недели в подкасте Security Bite Podcast он беседует с экспертами о самых актуальных темах.
