Apple merilis pembaruan keamanan pada 28 September 2026 untuk memperbaiki CVE-2026-86950, sebuah kerentanan zero-day pada komponen CoreGraphics. Apple menyebut celah tersebut mungkin telah dieksploitasi dalam serangan yang sangat canggih terhadap individu tertentu yang masih menggunakan versi iOS sebelum iOS 27.
Kerentanan ini berupa out-of-bounds write, yaitu kondisi ketika perangkat lunak menulis data melewati batas ruang memori yang seharusnya. Dalam situasi tertentu, kelemahan semacam ini dapat menimbulkan risiko terhadap keamanan dan stabilitas sistem. Namun, Apple belum mengungkapkan detail teknis mengenai cara eksploitasi, metode pengiriman file berbahaya, maupun identitas target.
Informasi mengenai CVE-2026-86950 disampaikan Apple dalam pembaruan catatan keamanan yang dirilis pada tanggal tersebut. Artikel ini terbit pada 29 September 2026, satu hari setelah patch dan peristiwa keamanan terkait diumumkan.
Perangkat dan versi sistem yang menerima perbaikan
Pembaruan yang mencantumkan perbaikan untuk CVE-2026-86950 mencakup beberapa cabang sistem operasi Apple. Pengguna perangkat yang masih menjalankan versi terdampak disarankan memasang pembaruan keamanan yang tersedia sesegera mungkin.
- iOS 26.7.1
- iPadOS 26.7.1
- macOS Tahoe 26.7.1
- macOS Sequoia 15.8.1
Menurut informasi yang tersedia, dampak kerentanan mencakup iOS 26, iPadOS 26, macOS Tahoe 26, dan macOS Sequoia 15. Sementara itu, iOS 27 dan macOS 27 tidak tercatat terdampak oleh CVE-2026-86950.
Perbedaan tersebut penting bagi pengguna karena tidak semua perangkat Apple memerlukan tindakan yang sama. Pengguna pada cabang sistem yang terdampak perlu memeriksa ketersediaan pembaruan sesuai perangkatnya. Mereka yang sudah menggunakan iOS 27 atau macOS 27 tidak tercatat sebagai pengguna yang terdampak oleh CVE ini berdasarkan keterangan yang tersedia.
CoreGraphics menjadi komponen yang diperbaiki
CoreGraphics merupakan komponen sistem Apple yang berkaitan dengan pemrosesan grafis. Komponen tersebut menangani pekerjaan grafis yang digunakan oleh sistem operasi dan aplikasi. Pada CVE-2026-86950, masalahnya berada pada mekanisme yang dapat melakukan penulisan data di luar batas memori.
Apple tidak memaparkan rincian teknis yang lebih jauh tentang kondisi pemicu kerentanan. Karena itu, belum dapat dipastikan jenis file, konten, atau alur interaksi apa yang digunakan dalam serangan yang disebutkan. Keterangan resmi Apple juga tidak menyatakan bahwa celah tersebut berkaitan dengan aplikasi tertentu.
Dengan informasi yang ada, pengguna sebaiknya tidak menarik kesimpulan bahwa seluruh pemilik iPhone, iPad, atau Mac menjadi sasaran serangan. Apple hanya menyebut kemungkinan eksploitasi dalam serangan yang sangat canggih terhadap individu tertentu. Pernyataan itu mengarah pada skenario serangan tertarget, bukan bukti adanya penyebaran massal kepada pengguna umum.
Meta Product Security melaporkan celah tersebut
Apple menyebut Meta Product Security sebagai pihak yang menemukan dan melaporkan CVE-2026-86950. Informasi ini menunjukkan bahwa laporan kerentanan datang melalui jalur penelitian keamanan dan kemudian ditangani dalam pembaruan perangkat lunak Apple.
Meski demikian, Apple belum menjelaskan kapan celah tersebut pertama kali ditemukan, berapa lama kerentanan telah dieksploitasi, atau siapa individu yang diduga menjadi target. Perusahaan juga tidak mengungkapkan bagaimana serangan dikirimkan ke perangkat yang rentan.
Keterbatasan informasi tersebut membuat sejumlah detail penting masih belum diketahui publik. Tidak ada dasar dalam keterangan yang tersedia untuk mengaitkan CVE-2026-86950 dengan WhatsApp atau aplikasi spesifik lainnya. Jalur serangan dan perangkat lunak yang mungkin digunakan dalam skenario tersebut belum diungkapkan Apple.
Langkah yang disarankan bagi pengguna
Pengguna perangkat pada versi sistem yang terdampak dapat memprioritaskan pemasangan pembaruan keamanan yang sesuai. Pembaruan sistem biasanya dapat diperiksa melalui menu pengaturan perangkat, meskipun lokasi dan tampilannya dapat berbeda antara iPhone, iPad, dan Mac.
- Periksa versi sistem operasi yang sedang digunakan pada perangkat.
- Pastikan perangkat termasuk dalam cabang versi yang terdampak.
- Periksa ketersediaan pembaruan keamanan terbaru.
- Pasang pembaruan yang sesuai dan ikuti instruksi pada perangkat.
Sebelum memperbarui, pengguna dapat memastikan perangkat memiliki daya yang cukup dan koneksi internet yang stabil. Untuk perangkat yang digunakan dalam pekerjaan penting, pembaruan juga dapat dikoordinasikan dengan kebijakan pengelolaan perangkat yang berlaku. Namun, penundaan sebaiknya tidak dilakukan tanpa alasan, terutama karena Apple menyatakan bahwa kerentanan mungkin telah digunakan dalam serangan yang sangat canggih.
Belum ada indikasi serangan massal
Status zero-day membuat CVE-2026-86950 mendapat perhatian karena celah tersebut dikaitkan dengan kemungkinan eksploitasi sebelum seluruh pengguna memasang perbaikan. Akan tetapi, detail yang tersedia tetap terbatas. Apple tidak menyatakan bahwa serangan berlangsung secara luas atau menyasar pengguna secara massal.
Karena itu, pemberitaan mengenai celah ini perlu membedakan antara fakta yang telah dikonfirmasi dan dugaan yang belum didukung keterangan resmi. Fakta yang tersedia adalah Apple merilis patch, kerentanannya berada pada CoreGraphics, Meta Product Security melaporkannya, dan Apple menyebut kemungkinan eksploitasi terhadap individu tertentu. Di luar hal tersebut, metode serangan, target, serta aplikasi yang mungkin terlibat belum dipublikasikan.
Bagi pengguna iPhone, iPad, dan Mac yang masih berada pada versi terdampak, tindakan paling relevan adalah memasang pembaruan yang tersedia. Langkah tersebut membantu memastikan perbaikan untuk CVE-2026-86950 telah diterapkan tanpa perlu menunggu informasi teknis tambahan mengenai serangan tersebut.
