Các nhà nghiên cứu bảo mật đã công bố bản Proof-of-Concept (PoC) công khai đầu tiên cho CVE-2026-86950, một lỗ hổng trong Apple CoreGraphics mà Apple cho biết có thể đã được sử dụng trong các cuộc tấn công nhắm vào các cá nhân cụ thể.
Tác nhân kích hoạt là một tệp PDF độc hại với font chữ nhúng được thiết kế đặc biệt nhằm làm treo các thiết bị iPhone và Mac chưa được vá lỗi. Mã này gây ra sự cố treo máy (crash), không phải lỗi thực thi. Việc chuyển đổi lỗi hỏng bộ nhớ này thành một exploit hoạt động là một công việc riêng biệt mà bản phân tích này không trình bày.
Apple đã vá lỗ hổng này vào ngày 28 tháng 9, ghi nhận Meta Product Security đã phát hiện ra và lưu ý rằng nó có thể đã được sử dụng trong một "cuộc tấn công cực kỳ tinh vi nhắm vào các cá nhân cụ thể trên các phiên bản iOS trước iOS 27."
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm lỗ hổng này vào danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities) vào ngày hôm sau, yêu cầu các cơ quan liên bang phải áp dụng bản vá trước ngày 2 tháng 10.
Apple không liệt kê iOS 27 hoặc macOS Golden Gate 27 là các phiên bản bị ảnh hưởng trong các khuyến nghị ngày 28 tháng 9. Chưa có biện pháp khắc phục tạm thời nào được mô tả cho các hệ thống không thể cập nhật ngay lập tức.
Những gì các nhà nghiên cứu đã tìm thấy
Bản phân tích được công bố vào ngày 30 tháng 9 bởi Dion Blazakis, Josh Maine và Anna Groza từ Calif, một công ty nổi tiếng với các nghiên cứu về bề mặt tấn công Zero-click trong các ứng dụng nhắn tin. Họ bắt đầu từ một bản so sánh nhị phân công khai giữa iOS 26.7 và 26.7.1.
CoreGraphics là framework của Apple dành cho vẽ 2D, kết xuất hình ảnh và xử lý PDF. Đây là thư viện duy nhất được thay đổi trong phiên bản 26.7.1, với cùng một bản vá được áp dụng hơn 20 lần trên tám hàm rasterizer.
Mã đã được vá chuyển đổi tọa độ glyph từ dấu phẩy động sang giá trị điểm cố định 32-bit. Trước khi vá, hai trong số tám hàm đã xử lý các giá trị ngoài phạm vi theo cách khác nhau: một hàm làm bão hòa kết quả, hàm còn lại cắt bớt nó.
Sự khác biệt đó khiến bounding box (hộp giới hạn) được tính toán cho một glyph quá hẹp. CoreGraphics sau đó đã cấp phát một bộ đệm làm việc nhỏ hơn các cạnh cần vẽ và ghi dữ liệu ra ngoài phạm vi đó.
Để kích hoạt lỗi, các nhà nghiên cứu đã tạo ra một font TrueType với các tọa độ đủ lớn để gây ra lỗi tràn (overflow). Việc nhúng nó vào một tệp PDF với ma trận văn bản và tỷ lệ glyph phức hợp lồng nhau sẽ đẩy các tọa độ đó vượt quá giới hạn. Họ đã công bố các kịch bản tạo font và một tệp PDF mẫu trong một kho lưu trữ GitHub công khai.
Công cụ kiểm thử gọi cùng một đường dẫn thumbnail ImageIO mà ứng dụng sử dụng khi xem trước tệp đính kèm nhận được. Các nhà nghiên cứu cho biết sự cố xảy ra trên cả macOS và iOS.
Kết quả trên macOS bao gồm đầy đủ ngăn xếp cuộc gọi (call stack) của trình gỡ lỗi. Khẳng định về iOS là của Calif, không có dấu vết riêng biệt nào được công bố.
Sự cố treo máy làm lộ ra một lỗi ghi ngoài phạm vi (out-of-bounds write) có kiểm soát, ảnh hưởng đến hai giá trị 16-bit liền kề trong bộ đệm mà kẻ tấn công có thể kiểm soát, cho phép ghi vào stack hoặc heap. Calif cho biết việc chuyển đổi kỹ thuật này thành thực thi mã hoạt động là một công việc riêng biệt. Calif đã không có được mẫu thực tế ngoài đời và không thể cho biết kẻ tấn công đã hoàn thiện chuỗi tấn công như thế nào.
Câu hỏi về WhatsApp
Calif đã kiểm tra WhatsApp vì Meta Product Security được ghi nhận là bên tìm ra lỗ hổng. Công ty đã so sánh hai phiên bản WhatsApp gần đây là 26.37.73 và 26.38.74, và tìm thấy mã mới trong trình quét tệp đính kèm Kaleidoscope của WhatsApp.
Phiên bản mới hơn đọc các tệp PDF để tìm các luồng font chữ được nhúng và gắn cờ các luồng khả nghi với ba thẻ lỗi: MalformedFontProgram, UndecodableFontProgram và UnverifiedFontProgram. Bất kỳ thẻ nào như vậy cũng sẽ trả về điểm rủi ro cao cho trình kiểm tra tệp đính kèm của WhatsApp, sau đó trình kiểm tra này sẽ dừng việc tự động phân tích tệp đã bị gắn cờ.
Calif mô tả những thay đổi đó là bằng chứng gián tiếp chỉ ra WhatsApp có thể là một vector truyền tải tiềm năng. Bài đăng của công ty mô tả nghiên cứu của họ bao gồm một lộ trình Zero-click khả thi qua WhatsApp.
Bản phân tích được công bố không mô tả hoặc thử nghiệm lộ trình truyền tải qua WhatsApp. Phiên bản ban đầu thì có: nó nói rằng phân tích của các nhà nghiên cứu gợi ý WhatsApp có thể gửi một tệp PDF kích hoạt lỗi khi nạn nhân mở một cuộc trò chuyện từ một liên hệ tin cậy với chế độ tự động tải xuống phương tiện được bật.
Câu đó đã bị xóa 85 phút sau khi xuất bản trong một lần chỉnh sửa bởi CEO của Calif, Thai Duong, người đã mô tả thay đổi này là nhằm loại bỏ các suy đoán về WhatsApp.
Bản phân tích kết thúc bằng một câu hỏi: liệu lỗ hổng "có được kết hợp với các lỗ hổng bổ sung trong WhatsApp để thực hiện việc phân tích cú pháp với ít sự tương tác của người dùng hơn hay không." Cách diễn đạt đó gợi ý rằng lộ trình mà Calif nghiên cứu sẽ yêu cầu hành động của người dùng hoặc các lỗ hổng WhatsApp khác trong chuỗi tấn công.
WhatsApp không công bố khuyến nghị nào liên kết lỗ hổng này với các sản phẩm của mình. Trang khuyến nghị năm 2026 của họ liệt kê hai lỗ hổng không liên quan.
The Hacker News đã hỏi Meta liệu WhatsApp có liên quan đến các cuộc tấn công được báo cáo hay không. Meta đã không phản hồi trước khi bài báo được xuất bản.
Một trường hợp trước đó làm cho giả thuyết này trở nên hợp lý. Vào tháng 8 năm 2025, WhatsApp đánh giá rằng một lỗ hổng trong các tin nhắn đồng bộ hóa thiết bị được liên kết có thể đã được kết hợp với một lỗi ghi ngoài phạm vi riêng biệt của Apple và được sử dụng chống lại ít hơn 200 người dùng mục tiêu, một cặp lỗ hổng mà THN đã đưa tin vào thời điểm đó.
The Hacker News đã hỏi Calif về tuyên bố truyền tải đã bị xóa và liệu các nhà nghiên cứu có lấy được mẫu thực tế kể từ khi công bố hay không. Calif đã không phản hồi trước khi bài báo được xuất bản.
Không có chỉ số mạng, danh tính kẻ tấn công hoặc tên payload exploit nào được công khai. Apple chưa cho biết liệu Lockdown Mode có chặn được lộ trình truyền tải được sử dụng trong các cuộc tấn công hay không.
