Apple baru saja memperbaiki celah keamanan di sistem operasi iOS 26, iPadOS 26, dan macOS 26, yang diklaim perusahaan “mungkin telah dieksploitasi” oleh peretas. Raksasa teknologi ini menyebut, bug yang kini sudah diperbaiki ini bisa digunakan untuk melancarkan “serangan yang sangat canggih terhadap individu tertentu di versi iOS sebelum iOS 27.”
Berdasarkan informasi di halaman keamanan Apple, bug ini ditemukan di mesin grafis utama yang mendukung antarmuka pengguna dan tampilan di iPhone, iPad, dan Mac.
Tim keamanan produk Meta diakui telah menemukan bug tersebut.
Detail bug ini, yang secara resmi diberi kode CVE-2026-86950, tidak dipublikasikan, tetapi biasanya, mesin grafis memiliki akses luas ke sistem operasi perangkat lainnya. Jika eksploitasi berhasil, peretas dapat mencuri berbagai data pribadi dari perangkat yang terpengaruh.
Ketika dihubungi oleh TechCrunch, juru bicara Apple dan Meta tidak memberikan komentar mengenai bagaimana bug ini ditemukan, atau berapa banyak orang yang perangkatnya mungkin telah diretas karena kerentanan ini. Belum jelas juga siapa yang mungkin mengeksploitasi bug ini, apakah pembuat spyware pemerintah atau penjahat siber.
Meski bug ini memengaruhi generasi sebelumnya dari sistem operasi Apple, banyak pengguna masih menggunakannya. Hampir empat dari lima pemilik iPhone Apple masih menggunakan iOS 26, menurut statistik perusahaan. Perangkat yang menjalankan versi terbaru, yaitu iOS 27, iPadOS 27, dan macOS 27, yang diluncurkan awal bulan ini, juga menerima pembaruan perangkat lunak pada hari Selasa, tetapi tidak terpengaruh oleh bug yang sedang diserang ini.
Akses Bug ‘Zero-Click’ yang Sudah Diperbaiki
Kabar tentang patch keamanan ini muncul tak lama setelah Apple menangani bug keamanan kritis lain, yang dikenal dengan nama CVE-2026-86869, yang bisa saja memungkinkan peretas mencuri data secara diam-diam dari iPhone, iPad, atau Mac yang terpengaruh.
Perusahaan riset keamanan siber Belgia, ironPeak, menerbitkan tulisan mendalam pekan lalu yang menjelaskan bahwa bug ini adalah kerentanan “zero-click” yang bisa dipicu secara tidak terlihat melalui iMessage yang dirancang dengan jahat, tanpa sepengetahuan pengguna. Bug semacam ini tidak memerlukan interaksi dari korban, seperti mengklik tautan, dan sangat dicari oleh vendor pengawasan dan pembuat spyware.
Sesuai dengan posting ironPeak, bug ini mampu melewati BlastDoor, fitur keamanan yang diterapkan Apple untuk mencegah kode jahat, seperti spyware, keluar dari kotak pasir iMessage dan meretas perangkat pengguna.
Apple telah memperbaiki bug ini pada bulan September dengan rilis iOS 27, iPadOS 27, dan macOS 27, serta memberikan penghargaan kepada Niels Hofmans dari ironPeak atas penemuannya, bersama dengan peneliti keamanan di Meta yang juga mengonfirmasi temuan mereka dalam sebuah posting di X.
Hingga saat ini, belum diketahui apakah bug ini telah digunakan dalam serangan siber sebelum diperbaiki.
