Błąd w składniku dyld systemów Apple posłużył jako ogniwo wyrafinowanego ataku na konkretne osoby. Poprawka jest w wersjach 26.3 iOS, iPadOS, macOS, tvOS, watchOS i visionOS. Zaktualizuj urządzenia zarządu dziś, resztę w tym tygodniu.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają iPhone'ów, iPadów, Maców, zegarków Apple Watch, Apple TV lub Apple Vision Pro. Werdykt: jeśli urządzenie Apple z dostępem do firmowej poczty lub danych ma system starszy niż 26.3, zaktualizuj je w tym tygodniu, a telefony zarządu i osób z wrażliwymi danymi dziś, bo luka była wykorzystana w ataku na wybrane osoby.
Amerykańska agencja CISA 12 lutego 2026 roku dopisała podatność CVE-2026-20700 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy dyld, systemowego składnika ładującego programy, obecnego w iOS, iPadOS, macOS, tvOS, watchOS i visionOS.
Apple wydał poprawki 11 lutego 2026 roku i napisał, że wie o raporcie, według którego luka mogła zostać wykorzystana w „wyjątkowo wyrafinowanym ataku na konkretne, wybrane osoby” na wersjach iOS starszych niż iOS 26. Lukę zgłosił Google Threat Analysis Group. W odpowiedzi na ten sam raport Apple nadał jeszcze dwa numery: CVE-2025-14174 i CVE-2025-43529, co wskazuje na atak złożony z kilku luk. Termin naprawy wyznaczony przez CISA minął 5 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20700 (powiązane: CVE-2025-14174, CVE-2025-43529) |
Data dodania do CISA KEV | 2026-02-12 |
Termin naprawy wg CISA | 2026-03-05 |
Produkt | Apple, wiele produktów: składnik dyld w iOS, iPadOS, macOS Tahoe, tvOS, watchOS i visionOS |
Wersje zagrożone | Wszystkie wersje starsze niż 26.3 na wymienionych platformach. Atak obserwowano na wersjach iOS starszych niż iOS 26. Wykorzystanie wymaga, by napastnik miał już możliwość zapisu do pamięci (luka jest ogniwem łańcucha) |
Wersje bezpieczne | iOS 26.3 i iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3, visionOS 26.3 (wszystkie z 11 lutego 2026) i nowsze. Urządzenia obsługiwane przez poprawkę: m.in. iPhone 11 i nowsze, Apple Watch Series 6 i nowsze, wszystkie Apple TV HD i 4K |
Typ podatności | Uszkodzenie pamięci (przepełnienie bufora) prowadzące do wykonania dowolnego kodu; CWE-119 |
Ocena CVSS | 7.8 (CVSS 3.1, WYSOKA): atak lokalny, niskie uprawnienia, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie archiwum z długimi rzędami ponumerowanych szuflad. W jednej leżą dokumenty, w sąsiedniej karta z instrukcją dla archiwisty, co ma zrobić za chwilę. Uszkodzenie pamięci to sytuacja, w której ktoś wkłada do szuflady więcej, niż się w niej mieści, i nadmiar wpada do szuflady obok, nadpisując instrukcję. Archiwista czyta podmienioną kartę i robi to, co zaplanował intruz.
Ta konkretna luka nie otwiera drzwi do archiwum. Napastnik musi już być w środku i mieć możliwość wkładania kartek do szuflad, co zwykle zapewnia mu inna luka, na przykład w przeglądarce. Dlatego Apple opisał atak jako łańcuch: jedna luka pozwala wejść, druga przejść dalej, a CVE-2026-20700 daje pełną kontrolę nad urządzeniem. Zdanie „wymaga wcześniejszego dostępu” nie jest więc uspokojeniem, tylko opisem jednego ogniwa.
💡 dyld to systemowy mechanizm, który ładuje i uruchamia programy na urządzeniach Apple. Uszkodzenie pamięci to błąd, przy którym dane trafiają poza przeznaczony dla nich obszar i nadpisują inne. Łańcuch exploitów to kilka luk użytych po kolei, z których każda pokonuje jedną warstwę zabezpieczeń. Atak ukierunkowany to atak przygotowany na konkretne osoby, a nie masowy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otwarcie strony lub wiadomości | Kod strony działa w izolacji | W połączeniu z inną luką może dać napastnikowi dostęp do pamięci |
Napastnik z dostępem do pamięci procesu | Zatrzymują go kolejne zabezpieczenia systemu | Może wykonać dowolny kod |
Dane na telefonie (poczta, komunikatory, dokumenty) | Chronione przez system | Dostępne dla oprogramowania szpiegującego |
Zegarek, Apple TV w sali konferencyjnej | Rzadko sprawdzane | Też wymagają wersji 26.3 |
Wersja systemu | 26.3 lub nowsza | Starsza niż 26.3 |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo Apple i Google nie ujawnili szczegółów. Luka jest lokalna i wymaga wcześniejszego dostępu do pamięci, więc nie da się jej wykorzystać samodzielnie przez sieć. CISA ocenia, że atak nie daje się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-tygodnie | Wytypowanie konkretnej osoby: właściciela, prawnika, członka zarządu, dziennikarza | Cel i sposób dotarcia |
2. Pierwsza luka | T+0 min | Nakłonienie do otwarcia strony lub treści, która wykorzystuje lukę np. w silniku przeglądarki | Kod napastnika działa w ograniczonym procesie |
3. Uzyskanie zapisu do pamięci | T+sekundy | Kolejny krok łańcucha | Możliwość zapisu do pamięci |
4. CVE-2026-20700 | T+sekundy | Wykorzystanie błędu w dyld | Wykonanie dowolnego kodu, pełna kontrola |
5. Instalacja oprogramowania szpiegującego | T+minuty | Ukryte narzędzie do przechwytywania danych | Dostęp do poczty, komunikatorów, zdjęć, lokalizacji |
6. Obserwacja | T+tygodnie do miesięcy | Ciche wyprowadzanie korespondencji i dokumentów | Wyciek informacji poufnych |
Atak „na wybrane osoby” brzmi jak coś, co dotyczy tylko polityków. W praktyce celem bywa jedna osoba w zwykłej firmie, bo jej telefon zawiera pocztę, komunikatory i dostęp do dokumentów całej organizacji. Do tego luka obejmuje sześć systemów, a zegarki, tablety w recepcji i Apple TV w salach rzadko są na liście aktualizowanego sprzętu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub przywrócenie do ustawień fabrycznych urządzeń, wymiana haseł i kont | Dni | 5 tys. do 50 tys. PLN (praca IT, sprzęt zastępczy) |
Bezpieczeństwo danych | Wyciek korespondencji zarządu, umów, danych negocjacyjnych, lokalizacji | Tygodnie do miesięcy cichej obserwacji | 30 tys. do 300 tys. PLN (analiza śledcza urządzeń, obsługa incydentu) |
Finansowy | Utrata przewagi w negocjacjach, oszustwa na podstawie przechwyconych informacji | Miesiące | 50 tys. do 1 mln PLN, zależnie od wagi informacji |
Reputacyjny | Ujawnienie poufnych rozmów z klientami i partnerami | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; ryzyko naruszenia tajemnicy zawodowej | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń Apple z systemem starszym niż 26.3
Wpływ
5 | . ■ . . . ← osoby wrażliwe: WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna kontrola nad urządzeniem z pocztą i dokumentami), ale prawdopodobieństwo dla typowego pracownika jest niskie (EPSS około 0,013, atak ukierunkowany i nieautomatyzowalny); dla zarządu i osób z wrażliwymi informacjami ryzyko należy traktować jako wysokie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować do wersji 26.3 lub nowszej telefony i komputery zarządu, finansów, działu prawnego i administratorów | Dziś | Administrator IT / użytkownicy |
2 | 🔴 NATYCHMIAST | Wymusić minimalną wersję systemu w narzędziu do zarządzania urządzeniami (MDM), jeśli firma go używa | Dziś | Administrator MDM |
3 | 🟠 PILNIE | Zaktualizować wszystkie pozostałe urządzenia Apple z dostępem do firmowej poczty i danych | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Spisać urządzenia spoza listy sprzętu: zegarki, Apple TV w salach, tablety w recepcji, prywatne telefony z firmową pocztą | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Urządzenia, które nie obsługują wersji 26.3, odciąć od firmowej poczty i danych lub zaplanować wymianę | Do 14 dni | CTO |
6 | 🟡 WAŻNIE | Włączyć automatyczne aktualizacje systemów na wszystkich urządzeniach Apple | Do 30 dni | Administrator IT |
7 | 🟡 WAŻNIE | Dla osób szczególnie narażonych rozważyć tryb blokady (Lockdown Mode) | Do 30 dni | CTO |
Apple wydał poprawki dla wszystkich sześciu platform w wersji 26.3. Jeśli urządzenie nie może jej zainstalować, poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Tryb blokady (Lockdown Mode) na urządzeniach osób narażonych | Średnia do wysokiej: ogranicza typowe drogi wejścia łańcuchów exploitów | Łatwa, ale ogranicza część funkcji |
Odcięcie nieaktualizowanych urządzeń od firmowej poczty i dysków | Wysoka dla danych firmy | Średnia: wymaga MDM lub zasad dostępu |
Regularny restart telefonu (np. codziennie) | Niska: może przerwać działanie części narzędzi szpiegujących, nie usuwa luki | Łatwa |
Wymiana urządzeń, które nie obsługują wersji 26.3 | Wysoka | Trudna: koszt sprzętu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja systemu | Część urządzeń starsza niż 26.3 | Wszystkie urządzenia z dostępem do danych na 26.3 lub nowszej |
Urządzenia spoza listy | Zegarki, Apple TV i tablety bez kontroli | Spisane i zaktualizowane |
Telefony zarządu | Aktualizowane „kiedy się przypomni” | Aktualizowane w tygodniu wydania poprawki |
Stary sprzęt | Z dostępem do poczty mimo braku poprawek | Odcięty lub wymieniony |
Osoby narażone | Standardowa konfiguracja | Tryb blokady rozważony i wdrożony tam, gdzie ma sens |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: możliwe wykorzystanie w wyjątkowo wyrafinowanym ataku na wybrane osoby na wersjach iOS starszych niż iOS 26 |
Grupy przestępcze | Brak publicznych informacji; lukę zgłosił Google Threat Analysis Group, ale sprawców nie wskazano |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataku wskazuje na niewielką liczbę wybranych ofiar |
Powiązane luki | CVE-2025-14174 (Chromium ANGLE, KEV od 2025-12-12) i CVE-2025-43529 (WebKit, KEV od 2025-12-15), wydane w odpowiedzi na ten sam raport |
Prognoza EPSS | Około 0,013, środek stawki wszystkich podatności (wg analizy źródłowej) |
Niski EPSS i wpis do KEV nie są sprzeczne. EPSS mówi, że nie należy spodziewać się masowych ataków na przypadkowe urządzenia. KEV mówi, że atak na konkretne osoby już się wydarzył. Różnica dotyczy skali, a nie powagi.
Sygnały zagrożenia dla CVE-2026-20700
CVSS 3.1 7.8/10 ████████████████░░░░ WYSOKA
EPSS 0,013 █░░░░░░░░░░░░░░░░░░░ NISKIE (ataki celowane)
CISA KEV TAK ████████████████████ atak potwierdzony
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga łańcucha luk
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-12-12 CISA dodaje powiązaną CVE-2025-14174 (Chromium) do KEV
2025-12-15 CISA dodaje powiązaną CVE-2025-43529 (WebKit) do KEV
2026-02-11 Apple wydaje wersje 26.3 dla iOS, iPadOS, macOS, tvOS,
watchOS i visionOS z poprawką CVE-2026-20700
2026-02-12 CISA dodaje CVE-2026-20700 do katalogu KEV
2026-03-05 Termin naprawy wg CISA dla agencji federalnych
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Dokumenty Apple z poprawkami: iOS i iPadOS support.apple.com/en-us/126346 , macOS Tahoe support.apple.com/en-us/126348 , tvOS support.apple.com/en-us/126351 , watchOS support.apple.com/en-us/126352 , visionOS support.apple.com/en-us/126353 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20700 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić wersję systemu na własnym telefonie i komputerze (Ustawienia, Ogólne, Uaktualnienia) i zaktualizować | Zarząd | DZISIAJ |
2 | Wskazać osoby w firmie z dostępem do najbardziej wrażliwych informacji | Zarząd / CTO | DZISIAJ |
3 | Zlecić aktualizację urządzeń tych osób i potwierdzenie wersji | CTO | DZISIAJ |
4 | Zlecić spis wszystkich urządzeń Apple z dostępem do poczty i sieci, także prywatnych | CTO | DO JUTRA |
5 | Zdecydować o odcięciu lub wymianie urządzeń, które nie obsługują wersji 26.3 | CFO / CTO | DO JUTRA |
6 | Oszacować koszt narzędzia do zarządzania urządzeniami mobilnymi (MDM), jeśli firma go nie ma | CFO | DO JUTRA |
7 | Ustalić zasadę: aktualizacje systemów na telefonach instalujemy w tygodniu wydania | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja iOS i iPadOS na urządzeniach z firmową pocztą? | [wersja] | 🔴 |
2 | Jaka jest najstarsza wersja macOS na komputerach firmowych? | [wersja] | 🔴 |
3 | Czy telefony i komputery zarządu mają wersję 26.3 lub nowszą? | TAK / NIE | 🔴 |
4 | Czy korzystamy z MDM, który raportuje i wymusza wersję systemu? | TAK / NIE | 🟠 |
5 | Ile urządzeń nie może zainstalować wersji 26.3? | [liczba] | 🟠 |
6 | Czy zegarki, Apple TV i tablety w salach oraz recepcji zostały zaktualizowane? | TAK / NIE, [data] | 🟠 |
7 | Czy prywatne urządzenia z firmową pocztą podlegają wymogom minimalnej wersji systemu? | TAK / NIE | 🟡 |
CVE-2026-20700 w składniku dyld systemów Apple była ogniwem łańcucha luk użytego w wyrafinowanym ataku na wybrane osoby. Poprawka jest dostępna od 11 lutego 2026 roku w wersjach 26.3 wszystkich sześciu systemów, a termin CISA minął 5 marca, więc aktualizacja urządzeń zarządu i osób z wrażliwymi danymi to zadanie na dziś, a reszty sprzętu na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.