Błąd w silniku WebKit pozwala uruchomić obcy kod na urządzeniu Apple po otwarciu strony. Poprawka jest od grudnia 2021, ale CISA potwierdza ataki. Zaktualizuj lub odizoluj stare telefony i tablety.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają iPhone'ów, iPadów, komputerów Mac lub starszych tabletów Apple w roli terminali. Werdykt: poprawka istnieje od grudnia 2021 roku, ale luka wróciła w gotowym zestawie włamaniowym, więc dziś zrób spis urządzeń Apple, które nie mają iOS lub iPadOS 15.2 albo nowszego, i odetnij je od firmowej sieci.
Amerykańska agencja CISA 5 marca 2026 roku dopisała CVE-2021-30952 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w WebKit, silniku wyświetlającym strony internetowe w urządzeniach Apple. Samo otwarcie spreparowanej strony może doprowadzić do uruchomienia na urządzeniu obcego kodu.
Termin naprawy wg CISA minął 26 marca 2026 roku. Poprawka jest dostępna od 13 grudnia 2021 roku, więc ryzyko dotyczy wyłącznie urządzeń, które jej nie przyjęły: zbyt starych, odłożonych do szuflady albo takich, na których ktoś od lat odkłada aktualizację. W marcu 2026 roku Google opisał zestaw włamaniowy Coruna na iPhone'y, w którym ta luka była jednym z elementów.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-30952 |
Data dodania do CISA KEV | 2026-03-05 |
Termin naprawy wg CISA | 2026-03-26 (21 dni od wpisu) |
Produkt | Apple: iOS, iPadOS, macOS, Safari, tvOS, watchOS (silnik WebKit); także otwartoźródłowe WebKitGTK i WPE WebKit w systemach Linux |
Wersje zagrożone | iOS i iPadOS przed 15.2, macOS Monterey przed 12.1, Safari przed 15.2 (macOS Big Sur i Catalina), tvOS przed 15.2, watchOS przed 8.3; WebKitGTK i WPE WebKit przed 2.34.4 (m.in. Debian 10 i 11, Fedora 34 i 35); Red Hat Enterprise Linux 7 i 8 bez poprawek. Urządzenia starsze niż iPhone 6s, iPad Air 2, iPad 5. generacji i iPad mini 4 nie dostały poprawki |
Wersje bezpieczne | iOS i iPadOS 15.2, macOS Monterey 12.1, Safari 15.2, tvOS 15.2, watchOS 8.3 (grudzień 2021) i każde nowsze wydanie; WebKitGTK i WPE WebKit 2.34.4; RHEL 8: webkit2gtk3-2.34.6-1.el8; RHEL 7 (przedłużone wsparcie): webkitgtk4-2.48.3-2.el7_9. Zalecane jest najnowsze wydanie dostępne dla danego urządzenia |
Typ podatności | Przepełnienie liczby całkowitej prowadzące do wykonania kodu; CWE-190 (Integer Overflow or Wraparound) |
Ocena CVSS | NVD: 7.8 (CVSS 3.1, WYSOKA, wektor lokalny). CISA: 8.8 (CVSS 3.1, WYSOKA, atak przez sieć, wymaga otwarcia strony). ENISA (EUVD-2021-17869): 8.8. NVD w CVSS 2.0: 6.8. Red Hat: 7.8, waga umiarkowana |
Ocena lokalna sugeruje, że napastnik musi mieć urządzenie w ręku. Opis producenta mówi jednak o przetworzeniu spreparowanej treści internetowej, a realne ataki polegały na odwiedzeniu strony, więc dla decyzji biznesowej właściwa jest interpretacja sieciowa.
Wyobraź sobie drogomierz w starym samochodzie, który po 999 999 kilometrach przekręca się na zero. Program w telefonie liczy, ile miejsca w pamięci potrzebuje na dane ze strony. Gdy wynik jest za duży, licznik „przekręca się” i program rezerwuje śmiesznie mały schowek, a potem wpycha do niego dużo więcej danych. To, co leży obok, zostaje nadpisane, a obok bywają instrukcje mówiące telefonowi, co ma robić dalej.
Dla firmy najważniejsze jest to, że atak nie wymaga klikania w nic podejrzanego. W opisanych przez Google atakach ofiary odwiedzały strony, które wyglądały normalnie, a złośliwy kod był wstrzykiwany w ukrytej ramce.
💡 WebKit to silnik, który wyświetla strony w Safari i we wszystkich przeglądarkach na iPhone'ach i iPadach. Przepełnienie liczby całkowitej to błąd liczenia, w którym wynik „przekręca się” i staje się za mały. Wykonanie dowolnego kodu oznacza, że napastnik uruchamia na urządzeniu własny program. Lockdown Mode (tryb blokady) to ustawienie w iPhone'ie ograniczające funkcje często używane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę banku lub portalu branżowego | Strona się wyświetla | Na przejętej lub fałszywej stronie ukryta ramka uruchamia kod napastnika |
Tablet w gabinecie lub warsztacie do podpisów klientów | Działa latami bez wymiany | Stara przeglądarka bez poprawek, w tej samej sieci co komputery firmy |
Telefon z odkładaną aktualizacją | „Działa, więc nie ruszam” | Podatny na zestaw włamaniowy obejmujący iOS 13 do 15.1.1 |
Sieć Wi-Fi w firmie | Wszystkie urządzenia w jednej sieci | Przejęte urządzenie staje się punktem zaczepienia do komputerów |
Serwer lub ekran informacyjny na starym Linuksie | Nikt go nie aktualizuje | Ten sam błąd w WebKitGTK, poprawka dla RHEL 7 dopiero w lipcu 2025 roku |
źródło: Pexels, Tim MossholderPoniżej typowy przebieg ataku dla luki w silniku przeglądarki, oparty na sposobie dostarczania opisanym przez Google Threat Intelligence Group. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby ofiara otworzyła stronę, ale nie wymaga żadnego dodatkowego kliknięcia. CISA ocenia go jako niemożliwy do pełnej automatyzacji, o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie pułapki | T+0 min | Wstrzyknięcie ukrytej ramki na przejętą stronę lub przygotowanie fałszywej strony o tematyce finansowej | Strona wygląda normalnie |
2. Rozpoznanie urządzenia | T+sekundy od wejścia | Sprawdzenie wersji systemu i trybu pracy (tryb blokady, przeglądanie prywatne) | Wybór pasującego exploita albo przerwanie ataku |
3. Wykonanie kodu | T+sekundy | Wykorzystanie błędu w WebKit (w zestawie Coruna pod nazwą buffout) | Odczyt i zapis w procesie wyświetlającym strony |
4. Kolejne etapy | T+minuty | Połączenie z innymi błędami z zestawu, żeby wyjść poza przeglądarkę | Głębszy dostęp do urządzenia |
5. Wykorzystanie dostępu | T+godziny do tygodni | Podgląd danych, kradzież informacji, rozpoznanie sieci firmowej | Utrata poufnych danych, punkt wejścia do firmy |
Mogę Ci jakoś pomóc?
Sama luka jest stara, ale stare urządzenia w firmach też są. Telefony i tablety rzadko trafiają do spisu sprzętu IT, a ich przeglądarki mają dostęp do tej samej sieci co komputery z danymi klientów. Zestaw Coruna pokazuje, że ktoś nadal uważa takie urządzenia za wartościowy cel.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub odtworzenie przejętych urządzeń, przerwa w obsłudze klientów na tabletach | Dni | 5 tys. do 50 tys. PLN (sprzęt, konfiguracja) |
Bezpieczeństwo danych | Wyciek danych z telefonu (poczta, kontakty, dokumenty), dostęp do sieci firmowej | Godziny do tygodni | 20 tys. do 150 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Koszty specjalistów, ewentualne straty z przejętej korespondencji lub przelewów | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie przy danych medycznych lub finansowych | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzenia Apple bez iOS/iPadOS 15.2
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (obcy kod na urządzeniu po samym otwarciu strony), a prawdopodobieństwo średnie, bo atak dotyczy tylko sprzętu bez aktualizacji z 2021 roku, a zestaw Coruna przerywa działanie w trybie blokady; dla aktualnego urządzenia ryzyko tej luki znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zrobić spis firmowych iPhone'ów, iPadów, Maców i tabletów w roli terminali wraz z wersją systemu | Dziś | Dział IT / kierownik biura |
2 | 🔴 NATYCHMIAST | Zaktualizować wszystkie urządzenia, które mogą przyjąć iOS/iPadOS 15.2 lub nowszy, do najnowszego dostępnego wydania | Dziś | Dział IT |
3 | 🔴 NATYCHMIAST | Urządzenia, których nie da się zaktualizować, przenieść do osobnej sieci Wi-Fi bez dostępu do komputerów firmowych | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Włączyć tryb blokady (Lockdown Mode) na telefonach osób z dostępem do przelewów, negocjacji lub danych wrażliwych | Do 3 dni | Dział IT / użytkownicy |
5 | 🟠 PILNIE | Sprawdzić serwery i ekrany z Linuksem pod kątem WebKitGTK/WPE WebKit i wgrać poprawki dystrybucji | Do 7 dni | Administrator serwerów |
6 | 🟡 WAŻNIE | Zaplanować wymianę sprzętu bez wsparcia aktualizacji | Do 90 dni | CFO / CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że telefony z dostępem do firmowej poczty muszą mieć aktualny system | Do 30 dni | CTO |
Apple wydało poprawkę w grudniu 2021 roku, ale najstarsze urządzenia jej nie dostały. Dla nich poniższe miary to jedyna ochrona. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Osobna sieć Wi-Fi (gościnna) dla urządzeń bez aktualizacji | Wysoka dla ochrony reszty firmy, nie chroni samego urządzenia | Łatwa: ustawienie w routerze |
Ograniczenie przeglądarki na terminalu do wąskiej listy zaufanych stron | Średnia do wysokiej | Średnia |
Tryb blokady (Lockdown Mode) na urządzeniach, które go obsługują (wg Google zestaw Coruna przerywał wtedy działanie) | Wysoka wobec opisanego zestawu | Łatwa, ale ogranicza część funkcji |
Przeglądanie prywatne (wg Google zestaw Coruna również przerywał działanie) | Średnia: nie jest zabezpieczeniem z założenia | Łatwa |
Wycofanie urządzenia z użytku | Wysoka | Zależna od budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o sprzęcie | Nikt nie wie, ile starych tabletów i telefonów jest w firmie | Spis urządzeń z wersjami systemu na jednej kartce |
Wersje systemów | Część urządzeń poniżej iOS/iPadOS 15.2 | Aktualne wydania lub urządzenia odseparowane |
Sieć Wi-Fi | Stary tablet obok komputera z danymi klientów | Urządzenia bez aktualizacji w osobnej sieci |
Telefony kadry kierowniczej | Standardowe ustawienia | Tryb blokady tam, gdzie ryzyko jest największe |
Serwery z Linuksem | Zapomniane pakiety WebKit | Poprawki dystrybucji wgrane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Europejska baza wskazuje 5 marca 2026 roku jako początek wykorzystywania |
Grupy przestępcze | Brak publicznych informacji o nazwie grupy; Google Threat Intelligence Group opisał zestaw narzędzi Coruna (wg analizy źródłowej) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA i ENISA (CVSS 3.1, sieciowo); 7.8 WYSOKA wg NVD (CVSS 3.1, lokalnie) |
PoC dostępny publicznie? | Brak publicznych informacji o otwartym kodzie; exploit o nazwie buffout był częścią zestawu Coruna, obejmującego iOS 13.0 do 17.2.1 |
Liczba atakowanych firm | Brak publicznych informacji; wg analizy źródłowej ataki prowadzono przez strony o tematyce finansowej i przejęte witryny ukraińskie |
Kto zgłosił błąd | Badacze @18f i @jq0904 z laboratorium weibin firmy DBAPP Security (zawody Tianfu Cup) |
Prognoza EPSS | Około 7% szansy prób wykorzystania, percentyl 0,937 (odczyt z 23 sierpnia 2026 wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2021-30952
CVSS 3.1 (CISA/ENISA) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~7% █░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka dostępna od 2021 ████████████████████ tylko stary sprzęt
Mogę Ci jakoś pomóc?
2021-08-24 Data rekordu CVE w NVD
2021-12-13 Apple wydaje iOS/iPadOS 15.2, macOS 12.1, tvOS 15.2, watchOS 8.3
2021-12-14 Safari 15.2 dla macOS Big Sur i Catalina
2022-01-25 Debian wydaje poprawione pakiety WebKitGTK i WPE WebKit
2022-05-10 Red Hat wydaje poprawkę dla RHEL 8
2025-07-07 Red Hat wydaje poprawkę dla RHEL 7 (przedłużone wsparcie)
2026-03 Google opisuje zestaw włamaniowy Coruna z tą luką (buffout)
2026-03-05 CISA dodaje lukę do katalogu KEV
2026-03-26 Termin naprawy wg CISA dla agencji federalnych
... prawie 6 miesięcy od terminu CISA, prawie 5 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalne komunikaty Apple: iOS i iPadOS 15.2 , macOS Monterey 12.1 , Safari 15.2 , tvOS 15.2 , watchOS 8.3 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-30952 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wszystkich urządzeń Apple w firmie, także tabletów w roli terminali | CTO | DZISIAJ |
2 | Zatwierdzić przeniesienie urządzeń bez aktualizacji do osobnej sieci Wi-Fi | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie aktualizacji wszystkich urządzeń, które mogą przyjąć nowy system | CTO | DO JUTRA |
4 | Wskazać osoby, które powinny włączyć tryb blokady na telefonie | CTO | DO JUTRA |
5 | Oszacować koszt wymiany urządzeń bez wsparcia aktualizacji | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje urządzenia mobilne i jakie stawia wymagania | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile firmowych urządzeń Apple ma system starszy niż iOS/iPadOS 15.2? | [liczba] | 🔴 |
2 | Czy są urządzenia, które nie mogą przyjąć iOS/iPadOS 15.2 (starsze niż iPhone 6s, iPad Air 2, iPad mini 4)? | TAK / NIE | 🔴 |
3 | Czy urządzenia bez aktualizacji są w osobnej sieci Wi-Fi? | TAK / NIE | 🔴 |
4 | Jaka jest najstarsza wersja systemu na telefonie z dostępem do firmowej poczty? | [wersja] | 🟠 |
5 | Czy mamy serwery lub ekrany z Linuksem korzystające z WebKitGTK lub WPE WebKit? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio sprawdzono wersje systemów na tabletach w roli terminali? | [data] | 🟠 |
7 | Czy osoby z dostępem do przelewów mają włączony tryb blokady? | TAK / NIE | 🟡 |
CVE-2021-30952 pozwala uruchomić obcy kod na urządzeniu Apple po otwarciu spreparowanej strony. Poprawka jest dostępna od grudnia 2021 roku, ale CISA potwierdza ataki, a luka była częścią zestawu włamaniowego na iPhone'y, więc spis i aktualizacja starych urządzeń oraz odcięcie tych, których nie da się zaktualizować, to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.