Lỗ hổng CoreGraphics CVE-2026-86950 là gì và vì sao nguy hiểm
Lỗ hổng iOS CoreGraphics CVE-2026-86950 là một lỗi ghi ngoài vùng nhớ (out-of-bounds write) trong nền tảng đồ họa 2D CoreGraphics của Apple, cho phép kẻ tấn công chèn và chạy mã độc thông qua tệp độc hại trên iPhone, iPad và Mac, đe dọa trực tiếp đến dữ liệu cá nhân và an toàn tài khoản người dùng.
Apple đã phát hành bản cập nhật iOS 26.7.1 và iPadOS 26.7.1 để vá lỗ hổng zero-day này, vốn đang bị khai thác trong các cuộc tấn công nhắm mục tiêu. Lỗi được theo dõi với mã CVE-2026-86950, mức độ nghiêm trọng 8,8/10 – tức là thuộc loại cao. Đây không phải một lỗi nhỏ mang tính lý thuyết; nó cho phép thực thi mã tùy ý thông qua tệp được chế tạo độc hại, đồng nghĩa kẻ tấn công có thể chiếm quyền điều khiển ứng dụng, làm hỏng dữ liệu hoặc mở đường cho spyware xâm nhập.
Điểm đáng lo hơn là Apple thừa nhận họ đã nhận được báo cáo lỗ hổng có thể đã bị khai thác trong “cuộc tấn công cực kỳ tinh vi vào các cá nhân được chỉ định” trên những phiên bản iOS trước iOS 27. Khi một hãng luôn dè dặt như Apple dùng cụm từ này, đó là tín hiệu rất rõ rằng đây là tấn công zero-day Apple phải xử lý khẩn cấp, và người dùng không nên xem nhẹ.
Ai đang bị ảnh hưởng: không chỉ nhà báo, chính trị gia mới là mục tiêu
Về mặt kỹ thuật, bản vá nhắm vào toàn bộ iPhone 11 trở lên và nhiều dòng iPad, đồng thời được mang lên cả macOS Tahoe 26.7.1 và macOS Sequoia 15.8.1. Nói cách khác, nếu bạn dùng thiết bị Apple tương đối mới, gần như chắc chắn bạn nằm trong nhóm chịu ảnh hưởng. Bỏ qua cập nhật bảo mật iPhone lần này đồng nghĩa bạn giữ nguyên một cánh cửa mở cho kẻ tấn công.
Apple mô tả các nạn nhân hiện tại là “các cá nhân được nhắm mục tiêu cụ thể” trong chiến dịch tấn công cực kỳ tinh vi. Đúng, ưu tiên hiện nay của spyware thường là chính trị gia, nhà báo, nhà hoạt động – nhưng đó chỉ là nhóm bị phát hiện. Một công ty an ninh blockchain thậm chí đã ghi nhận hoạt động khai thác iOS nhắm vào dữ liệu ví nhạy cảm, cho thấy rủi ro với tài sản số và thông tin tài chính là hoàn toàn thực tế.
Khi một lỗ hổng zero-day Apple được công khai, nó không còn là vũ khí độc quyền của một nhóm gián điệp nữa. Các băng nhóm tội phạm mạng sẽ nhanh chóng học theo. Nếu bạn trì hoãn, bạn đang biến điện thoại thành “phòng thí nghiệm” miễn phí cho chúng.
Meta phát hiện gì và câu chuyện cuộc đua spyware
Lỗ hổng CoreGraphics này được phát hiện và báo cáo bởi đội Meta Product Security. Meta trước đó từng công bố một lỗ hổng trong ứng dụng WhatsApp trên iOS và macOS (CVE-2025-55177), có khả năng bị khai thác cùng một lỗ hổng Apple khác trong các cuộc tấn công có chủ đích vào dưới 200 người. Điều đó cho thấy bức tranh lớn: các hãng công nghệ đang mắc kẹt trong cuộc đua vũ trang với spyware.
Theo một phân tích bảo mật, đây chỉ là một trong “chuỗi dài” những khai thác nhắm vào hệ thống của Apple, và lần này cũng được dùng trong một chiến dịch nâng cao chống lại mục tiêu đã được chọn. Sau bản vá, cơ quan an ninh mạng liên bang Mỹ đã yêu cầu các cơ quan phải cập nhật trong vòng ba ngày và tiến hành kiểm tra pháp y để xem hệ thống có bị xâm nhập hay không.
Điều đáng nói là Apple không tiết lộ cách tệp độc hại được gửi đến nạn nhân; theo chính sách, họ hoãn chia sẻ chi tiết cho đến khi điều tra xong và bản vá đã có sẵn. Việc thiếu thông tin khiến người dùng bình thường khó ỷ lại vào “thực hành an toàn” kiểu không bấm link lạ – ở đây, lỗi nằm trong chính bộ xử lý đồ họa hệ thống. Cách thiết thực nhất để bảo vệ điện thoại iOS của bạn là cập nhật sớm hơn kẻ xấu.
Cách cập nhật ngay để bảo vệ dữ liệu và tài khoản
Lúc này, câu hỏi không phải là “lỗ hổng iOS CoreGraphics có đáng ngại không” mà là “bạn cập nhật nhanh đến mức nào”. Apple đã phát hành iOS 26.7.1 và iPadOS 26.7.1 ngày 28/9 để xử lý lỗ hổng này, đồng thời phát hành bản vá trên macOS Tahoe 26.7.1 và Sequoia 15.8.1. Theo khuyến nghị chính thức, người dùng nên cài đặt bản cập nhật ngay khi có thể.
- Trên iPhone hoặc iPad, vào Cài đặt → Cài đặt chung → Cập nhật phần mềm.
- Kiểm tra và tải về iOS/iPadOS 26.7.1 (hoặc bản mới hơn nếu có).
- Đảm bảo chế độ cập nhật tự động được bật để nhận cập nhật bảo mật iPhone nhanh nhất.
- Trên Mac, làm theo hướng dẫn cập nhật macOS lên đúng bản Tahoe 26.7.1 hoặc Sequoia 15.8.1 tương ứng.
Apple nhấn mạnh rằng người dùng bật cập nhật tự động sẽ nhận bản vá tự động, nhưng những ai chưa cập nhật cần kiểm tra thủ công. Với mức độ nghiêm trọng 8,8/10 và khả năng thực thi mã tùy ý, “trì hoãn” trong trường hợp này tương đương “tự mở cửa cho spyware”. Bảo vệ điện thoại iOS không còn là lựa chọn, mà là trách nhiệm của chính bạn với dữ liệu, tài khoản và cả những người liên lạc với bạn.
