Tóm tắt nhanh
- Binance cảnh báo worse_query trên iOS 26.7.1, 27.0.1 và 27.2 có thể cho ứng dụng độc hại đọc tệp của app khác.
- Hình thức khai thác được mô tả đòi hỏi cài ứng dụng ngoài App Store, chẳng hạn qua sideloading hoặc IPA tự ký.
- Chưa rõ các bản cập nhật iOS phát hành ngày 9/11 đã xử lý chính xác worse_query hay chưa.
- Người dùng nên cập nhật phần mềm, gỡ ứng dụng không đáng tin và chuyển tài sản sang ví mới trên thiết bị sạch nếu nghi bị xâm nhập.
Binance cảnh báo kỹ thuật vượt vùng cách ly ứng dụng worse_query trên iOS 26.7.1, 27.0.1 và 27.2 có thể làm lộ dữ liệu cục bộ của ứng dụng khác, gồm cụm từ khôi phục ví, khóa riêng và thông tin đăng nhập. Điều kiện quan trọng là ứng dụng khai thác phải được cài lên máy từ bên ngoài App Store, chứ không phải mọi iPhone đều tự động bị xâm nhập.
Với người dùng ví tiền mã hóa tại Việt Nam, điểm cần cân nhắc là có đáng cài một tệp IPA không rõ nguồn chỉ để dùng tiện ích giao dịch hoặc nhận airdrop hay không. Lợi ích của tiện ích đó khó bù được hậu quả nếu ứng dụng đọc tới dữ liệu dùng để kiểm soát ví.
worse_query vượt qua ranh giới dữ liệu giữa các ứng dụng
Rủi ro nằm ở việc ứng dụng có thể tiếp cận dữ liệu ngoài phạm vi vốn dành cho nó. Sandbox là cơ chế cách ly các ứng dụng; khi ranh giới này bị vượt qua, dữ liệu lưu trong một ứng dụng khác có thể trở thành mục tiêu dù người dùng không chủ động chia sẻ.
Tài liệu kỹ thuật của forcequitOS mô tả worse_query cần một container App Group, tức vùng chứa dữ liệu dành cho nhóm ứng dụng. Danh sách đường dẫn có thể truy cập bao gồm vùng dữ liệu ứng dụng, phần mở rộng và các nhóm ứng dụng; một số đường dẫn hệ thống được ghi riêng cho iOS 27. Đây là mô tả khả năng truy cập vùng lưu trữ, không phải bằng chứng rằng mọi khóa ví trên thiết bị đều đọc được.
Công cụ thử nghiệm WQ Files sử dụng kỹ thuật này để duyệt, xuất, chỉnh sửa và xóa dữ liệu của ứng dụng khác mà không cần jailbreak. Việc không cần jailbreak đáng chú ý ở chỗ người dùng không thể coi một chiếc iPhone chưa bẻ khóa là đủ an toàn nếu vẫn cài ứng dụng không đáng tin.
Đây là vấn đề ở cấp iOS, không phải lỗi riêng do ứng dụng Binance gây ra. Nguy cơ đối với ví phụ thuộc vào dữ liệu mà ứng dụng độc hại thực sự tiếp cận được; cảnh báo về khả năng lộ khóa không đồng nghĩa tài sản đã bị lấy cắp.
Cài IPA lạ mới là mắt xích người dùng có thể tránh
Biện pháp thiết thực nhất là chặn đường đưa ứng dụng độc hại lên máy. Hình thức khai thác được mô tả gắn với sideloading hoặc cài tệp IPA tự ký từ bên ngoài App Store, vì công cụ phải chạy trên iPhone mới có thể tác động tới dữ liệu cục bộ.
Người chỉ cài ứng dụng từ App Store không ở cùng tình huống với người tự cài IPA từ một liên kết lạ. Tuy vậy, điều kiện này cũng không nên bị diễn giải thành lời bảo đảm rằng mọi ứng dụng trên App Store đều an toàn; nó chỉ xác định đường khai thác của cảnh báo đang được nói tới.
Với ứng dụng được giới thiệu là bot giao dịch hay tiện ích airdrop, nên kiểm tra nguồn phát hành trước khi làm theo hướng dẫn ký và cài đặt. Một ứng dụng có chức năng liên quan tới tiền mã hóa không vì thế mà cần được tiếp cận dữ liệu của ví khác; lời hứa về lợi nhuận cũng không phải lý do để bỏ qua nguồn gốc phần mềm.
Chưa có tổn thất tiền mã hóa nào được xác nhận liên quan tới lỗ hổng này tại thời điểm cảnh báo được đưa tin. Binance khuyến nghị xóa ứng dụng không cần thiết hoặc không đáng tin, đồng thời cập nhật iOS và các ứng dụng đang dùng.
Hãy cập nhật, nhưng đừng mặc định đã rõ bản vá
Cập nhật là bước nên làm, còn khẳng định worse_query đã được vá thì cần bằng chứng riêng. Apple phát hành iOS 27.2.1, 26.7.3 và 18.7.12 vào ngày 9/11 để xử lý chín lỗ hổng; trong đó CVE-2026-113963 có thể cho phép ứng dụng truy cập dữ liệu người dùng nhạy cảm.
Tuy nhiên, chưa rõ CVE này có phải worse_query hay không. Cơ chế được mô tả cho CVE liên quan tới App Intents, trong khi worse_query sử dụng App Group container, nên không thể chỉ dựa vào hậu quả tương tự để kết luận hai lỗi là một.
Người dùng có thể vào Cài đặt > Cài đặt chung > Cập nhật phần mềm để cài phiên bản mới nhất mà thiết bị hỗ trợ. Cần làm song song với việc rà soát ứng dụng đã cài ngoài App Store, thay vì coi cập nhật là lý do để tiếp tục giữ một công cụ không rõ nguồn.
Nếu nghi thiết bị đã bị xâm nhập, Binance khuyên chuyển tài sản sang ví mới được tạo trên thiết bị sạch và đặt lại các phiên đăng nhập đang hoạt động. Ví mới và thiết bị sạch là hai phần quan trọng của khuyến nghị: chỉ gỡ ứng dụng đáng ngờ không thể thu hồi một khóa bí mật nếu khóa đó đã bị sao chép.
Nguồn tham khảo: forcequitOS: tài liệu worse_query; Macworld; BleepingComputer
