Tóm tắt nhanh
- Apple công bố bản cập nhật bảo mật ngày 26/10/2026 cho iOS, iPadOS, macOS, watchOS, tvOS, visionOS và Safari.
- Đợt phát hành xử lý ít nhất 329 lỗ hổng độc lập; 1.265 là tổng lượt niêm yết CVE khi một lỗi xuất hiện trên nhiều hệ điều hành.
- CVE-2026-86990 có thể cho phép ứng dụng độc hại truy cập camera không cần quyền; CVE-2026-86987 liên quan nguy cơ truy cập dữ liệu nhạy cảm từ xa.
- iOS 18/iPadOS 18 cũng nhận bản vá CoreGraphics cho lỗi Apple từng cảnh báo có thể đã bị khai thác trong một cuộc tấn công có chủ đích.
Apple phát hành các bản cập nhật bảo mật ngày 26/10/2026, xử lý ít nhất 329 lỗ hổng độc lập trên iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro và Safari. Con số 1.265 CVE trong danh sách không có nghĩa có 1.265 lỗi riêng biệt: nhiều lỗi được ghi nhận trên nhiều hệ điều hành.
Con số CVE lớn phản ánh phạm vi vá trên nhiều hệ điều hành
Danh sách cập nhật lần này trải từ iOS 27.2, iOS 26.7.2 đến iOS 18.7.11; phía Mac có macOS Golden Gate 27.2, Tahoe 26.7.2 và Sequoia 15.8.2. Apple cũng phát hành bản vá cho watchOS, tvOS, visionOS và Safari. Việc hỗ trợ nhiều nhánh hệ điều hành giúp thiết bị chưa nâng cấp lên phiên bản mới nhất vẫn nhận được bản sửa tương ứng.
9to5Mac thống kê 329 lỗ hổng độc lập và 1.265 lượt niêm yết CVE trong các ghi chú cập nhật. Một lỗ hổng có thể ảnh hưởng nhiều nền tảng nên được liệt kê nhiều lần. Danh sách có thể còn được Apple bổ sung hoặc chỉnh sửa sau ngày phát hành, vì vậy đây là con số tại thời điểm tổng hợp.
Lỗi camera và Apple Intelligence tác động trực tiếp đến quyền riêng tư
CVE-2026-86990 trong CoreMedia có thể cho phép ứng dụng độc hại truy cập camera mà không cần người dùng cấp quyền. Apple cho biết đã xử lý lỗi bằng cách siết giới hạn truy cập; ghi chú iOS/iPadOS áp dụng cho iPhone 11 trở lên cùng các mẫu iPad tương thích.
CVE-2026-86987 liên quan cơ chế cấp quyền và có thể khiến kẻ tấn công từ xa truy cập dữ liệu nhạy cảm trên một số thiết bị hỗ trợ Apple Intelligence. Đây là nguy cơ gắn với điều kiện thiết bị và phần mềm cụ thể, không có nghĩa mọi iPhone đều bị khai thác. Dù vậy, lỗi chạm đến dữ liệu cá nhân nên người dùng đã nhận bản vá không nên trì hoãn.
Apple cũng liệt kê nhiều lỗi WebKit có thể dẫn tới thực thi mã khi thiết bị xử lý nội dung web được tạo có chủ đích. Trình duyệt và ứng dụng hiển thị nội dung web là bề mặt tiếp xúc thường xuyên; bản vá giúp giảm rủi ro từ nội dung độc hại, nhưng không thể từ đó kết luận từng lỗ hổng đã bị khai thác rộng rãi.
Người dùng iOS 18 vẫn có lý do cập nhật, không cần đổi máy
Apple phát hành iOS 18.7.11 và iPadOS 18.7.11 bên cạnh các bản cho hệ điều hành mới hơn. Người dùng thiết bị cũ không phải nâng cấp lên nhánh mới nhất mới có thể nhận bản vá bảo mật.
Bản dành cho iOS 18/iPadOS 18 xử lý lỗi CoreGraphics CVE-2026-86950, có thể cho phép một tệp được tạo đặc biệt kích hoạt thực thi mã. Apple từng cảnh báo lỗi này có thể đã bị khai thác trong một cuộc tấn công rất tinh vi nhắm vào một số cá nhân dùng phiên bản iOS trước iOS 27. Cảnh báo không cho thấy đây là chiến dịch đại trà, nhưng là lý do rõ ràng để người dùng thiết bị còn được hỗ trợ ưu tiên cài bản vá.
Các bản cập nhật phần mềm được phát hành miễn phí tại Việt Nam qua cơ chế cập nhật hệ thống. Hãy kiểm tra phiên bản dành cho thiết bị trong phần Cài đặt, sao lưu dữ liệu quan trọng và cài đặt khi có thể để máy khởi động lại an toàn. Bản cập nhật hiện ra tùy mẫu thiết bị và nhánh hệ điều hành.
Apple công bố chi tiết trong ghi chú bảo mật của từng hệ điều hành; danh sách có thể tiếp tục được cập nhật khi hãng bổ sung thông tin CVE.
Nguồn tham khảo: Apple Security Releases; Apple: iOS 27.2 và iPadOS 27.2; 9to5Mac
