ثلاث ثغرات في نظام أبل البيئي: تلف الذاكرة بنقرة صفرية، انتحال مرسل iCloud، ورفع صلاحيات الجذر

• CVE-2026-86869: نقرة صفرية عبر iMessage وOpenEXR

اكتشف الباحث ironPeak تجاوزًا في مخزن heap في libAppleEXR.dylib: يخصص مفكك الترميز 12 بايت لكل بكسل RGB لكنه يكتب 16 بايت، بما في ذلك قناة ألفا ثابتة إضافية، بينما بيانات RGB يتحكم بها المهاجم. تتم معالجة مرفق EXR مصمم تلقائيًا بواسطة ImageIO بعد وصول رسالة iMessage، مما يؤدي إلى تلف الذاكرة دون تفاعل المستخدم وخارج صندوق BlastDoor الرملي. أكد الباحث إطلاق النقرة الصفرية على iPad حقيقي وأظهر كتابة موجهة من المهاجم والتحكم في عداد البرنامج في بيئة اختبار مضبوطة. لم يتم إثبات تنفيذ تعليمات برمجية عن بُعد كامل على جهاز الضحية: تم حظر خطوة الاستغلال النهائية بواسطة Pointer Authentication (PAC)، بينما وفر وسم الذاكرة العتادي حماية إضافية في العملية الخلفية المتأثرة على أحدث Apple silicon. أصلحت Apple CVE-2026-86869 في سبتمبر 2026 عبر iOS وiPadOS وmacOS 27.

• Apple iCloud: انتحال المرسل أثناء اجتياز فحوصات SPF وDKIM وDMARC

اكتشف Timo Longin من SEC Consult ثغرتين في تحليل SMTP سمحتا لمستخدم iCloud موثق بإرسال رسائل بريد إلكتروني تبدو صادرة من عناوين @icloud.com عشوائية. استغلت التقنية الأولى معالجة غير متسقة لأحرف إرجاع العربة (CR) في ترويسة From؛ واستخدمت الثانية اختلافات في معالجة dot-stuffing بين محللات SMTP الخاصة بـ Apple للتلاعب بكيفية تفسير ترويسات الرسالة والنص. لأن توقيعات DKIM تم إنشاؤها بعد تحويلات الرسالة ذات الصلة، اجتازت الرسائل المنتحلة فحوصات SPF وDKIM وDMARC، رغم أنه لا يزال يمكن تحديد المرسل الفعلي في ترويسات البريد الخام مثل Return-Path وAuthentication-Results. أكدت Apple أنه تم إصلاح المشكلات بحلول ديسمبر 2025، ونشرت SEC Consult التحليل الفني في أكتوبر 2026.

• CVE-2026-43783: رفع صلاحيات محلي إلى root في macOS

اكتشف الباحث Ilya Andr من PT SWARM CVE-2026-43783 في خدمة XPC ذات الامتيازات DesktopServicesHelper: فشل معالج RepairPermissionsForCloudItems في التحقق من أن مسارات الملفات المقدمة تنتمي إلى iCloud. من خلال fchown()، يمكن للخدمة تغيير ملكية ملف أو دليل يحدده المهاجم إلى UID المستخدم الطالب. في PoC، استولى المهاجم على ملكية /private/etc/pam.d، وأنشأ sudo_local يحتوي على auth sufficient pam_permit.so، وتجاوز مصادقة كلمة مرور sudo للحصول على صلاحيات root. استخدم الاستغلال تطبيقًا داخل صندوق رملي مع استحقاقات com.apple.security.app-sandbox وcom.apple.security.temporary-exception.mach-lookup.global-name للوصول إلى خدمة XPC. قدم تصحيح Apple فحصًا إلزاميًا للاستحقاق الخاص com.apple.private.desktopservices.cloud-repair-perm.

مقال (0-click): https://ironpeak.be/blog/ex-arrr-sailing-the-0-click-seas/

مقال (انتحال iCloud): https://sec-consult.com/blog/detail/from-anyoneicloudcom-spoofing-arbitrary-apple-icloud-identities/

مقال (root): https://ptswarm.com/blog/cve-2026-43783-repair-permissions-get-root-lpe-via-desktopserviceshelper-in-macos-26-5/