iOS 27.2.1 vá lỗi iMessage cho người lạ vào nhóm chat: nên cập nhật ngay hay chờ iOS 27.3?

Hai lỗi iMessage nhóm đáng lo nhất trong đợt vá này

Trong tài liệu bảo mật phát hành cùng ngày, Apple mô tả lỗi CVE-2026-113961 là một lỗ hổng ủy quyền: kẻ tấn công từ xa có thể tham gia nhóm iMessage và nhận các tin nhắn gửi trong nhóm đó. Lỗi thứ hai, CVE-2026-113960, nằm ở phía người được mời: một người mới thêm vào nhóm có thể truy cập các tin nhắn đã gửi trước thời điểm họ vào. Cả hai đều do một nhà nghiên cứu ẩn danh báo cho Apple.

Hai lỗi này nặng ở chỗ khác với kiểu lỗ hổng làm treo máy hay hỏng ứng dụng: thứ bị lộ là nội dung trò chuyện. Một nhóm chat công việc có báo giá, mật khẩu tạm hay ảnh chụp tài liệu sẽ trở thành nguồn dữ liệu cho người không được mời, và lỗi thứ hai biến cả lịch sử cũ thành thứ ai được thêm vào cũng đọc được. Với nhóm gia đình hoặc bạn bè thì rủi ro thấp hơn, nhưng với nhóm làm việc, nhóm bán hàng hay nhóm ban quản lý thì đây là lý do chính để cài bản này sớm. Cách Apple xử lý lỗi thứ hai cũng đáng chú ý: tài liệu ghi lỗi được khắc phục bằng cách gỡ hẳn đoạn mã có lỗ hổng, không phải vá bằng một điều kiện kiểm tra bổ sung.

Apple không nêu lỗi này đã bị lợi dụng, và các trang tin theo dõi bản cập nhật cũng không ghi nhận bằng chứng khai thác ngoài thực tế. Mức rủi ro vì thế là rủi ro tiềm tàng, chưa phải sự cố đang diễn ra.

Bluetooth và AirPlay: lỗi ghép nối mà bản vá cũng đụng tới

Phần còn lại của bản vá xoay quanh việc ghép nối thiết bị. Apple ghi nhận một lỗi logic cho phép kẻ tấn công trong tầm Bluetooth vượt giới hạn số lần thử mã ghép nối, và CVE-2026-113965 cho phép một thiết bị Bluetooth độc hại thiết lập ghép nối mà người dùng không phải làm gì. Với AirPlay, CVE-2026-113969 cho phép kẻ tấn công trong cùng mạng vượt giới hạn số lần thử mã ghép nối AirPlay. Cả hai lỗi này do chính Apple phát hiện.

Giới hạn số lần thử mã là lớp chặn đơn giản nhưng quan trọng: khi nó bị vượt qua, mã ghép nối vài chữ số chỉ còn là chuyện thử đủ lần. Điều kiện khai thác ở đây là phải ở gần, trong tầm Bluetooth hoặc cùng mạng, nên rủi ro cao nhất rơi vào nơi đông người như quán cà phê, sân bay, văn phòng dùng chung Wi-Fi. Apple cũng sửa thêm lỗi tràn bộ nhớ liên quan đến Bluetooth, và một lỗi cho phép ứng dụng truy cập dữ liệu nhạy cảm của người dùng.

Theo 9to5Mac, nhiều bản sửa trong đợt này giống nhau giữa các nền tảng vì Apple dùng chung mã nguồn. Danh sách cập nhật cùng ngày gồm iOS 26.7.3, iOS 18.7.12, macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3, macOS Sequoia 15.8.3, watchOS 27.2.1, watchOS 26.6.1 và visionOS 27.2.1. Người còn dùng iPhone chạy iOS 26 hay iOS 18 vẫn nhận được bản vá tương ứng, không bắt buộc phải lên iOS 27.

Nên cập nhật ngay, đừng chờ iOS 27.3 vào tháng 12

Bản 27.2.1 không đổi giao diện và không thêm chức năng; các tính năng mới được dời sang iOS 27.3, dự kiến ra vào tháng 12/2026. Chờ đến lúc đó đồng nghĩa với việc chạy thêm vài tuần với hai lỗi iMessage nhóm còn nguyên, nên chỉ có một lý do hợp lý để hoãn: máy đang chạy ứng dụng nghiệp vụ chưa được kiểm tra trên bản mới. Còn lại, bản sửa lỗi nhỏ thế này thường rủi ro thấp hơn nhiều so với việc để lỗ hổng tồn tại.

Người dùng tại Việt Nam nhận bản này miễn phí qua OTA như mọi nơi khác. Mở Cài đặt > Cài đặt chung > Cập nhật phần mềm, bấm tải về và cài đặt; nên cắm sạc và nối Wi-Fi vì gói cập nhật hệ điều hành thường nặng. Nếu bạn quản lý nhóm chat có thông tin nhạy cảm, hãy nhắc cả nhóm cùng cập nhật, vì lỗi nằm ở cách iMessage xử lý thành viên và lịch sử nhóm, nên một máy chưa vá vẫn là điểm yếu của cả nhóm.

Nguồn tham khảo: Apple Support, 9to5Mac, Cult of Mac