Apple 26 жовтня випустила оновлення безпеки для своїх операційних систем. Лише в найновіших версіях iOS і macOS компанія усунула 286 вразливостей. Виправлення для вади, яку зловмисники вже використовували в атаках, Apple перенесла також на iOS 18, тож його отримали й старіші iPhone та iPad.

Що виправлено в iOS та iPadOS 27.2

macOS Golden Gate 27.2 усуває 263 вразливості, а iOS та iPadOS 27.2 виправляють 163. Приблизно 140 із них спільні для обох систем.

В iOS та iPadOS 27.2 виправлено багато помилок пошкодження памʼяті в рушії WebKit, ядрі системи та компонентах, що обробляють зображення, шрифти, PDF-документи, аудіо- та відеофайли. Частину з них можна було використати для виконання довільного коду.

Apple також усунула вади, через які застосунки могли отримати доступ до конфіденційних даних користувача або обійти налаштування приватності. Серед виправлених є й кілька інших помилок. Деякі дозволяли вийти за межі пісочниці WebContent. Ще одна давала змогу зловмиснику видавати себе за центр розподілу ключів (KDC) Kerberos. Окрема вада відкривала атакувальнику, що перебуває поблизу, доступ до мережі Thread, протоколу, на якому працюють пристрої розумного дому.

macOS Golden Gate 27.2: права root і віддалені атаки

macOS Golden Gate 27.2 закриває понад десяток вад підвищення привілеїв, через які застосунки могли отримати права root. Оновлення також усуває способи вийти за межі пісочниці й обійти захисний механізм Gatekeeper. Крім того, воно виправляє помилки пошкодження памʼяті ядра в компонентах файлових систем і образів дисків.

Окрема група виправлень стосується служб Screen Sharing (спільний доступ до екрана), Remote Management (віддалене керування) і протоколу SMB. Ці вади можна атакувати віддалено або з локальної мережі. Зокрема, помилка автентифікації в Remote Management (CVE-2026-112427) дозволяла віддаленому зловмиснику виконати довільний код.

Атакована вразливість: виправлення для iOS 18

iOS та iPadOS 18.7.11 виправляють три вразливості. Найважливіша з них — CVE-2026-86950 у компоненті CoreGraphics. Це помилка запису за межами буфера, яка дозволяла виконати довільний код під час обробки спеціально створеного файлу. За даними Apple, ваду могли використати як вразливість нульового дня в «надзвичайно складній атаці» проти конкретних осіб на версіях iOS, старіших за iOS 27.

Вразливість виявила команда безпеки продуктів Meta. Уперше Apple закрила її наприкінці вересня в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Системи iOS і macOS 27, імовірно, не вразливі.

Публічних подробиць про атаки з використанням CVE-2026-86950 наразі немає.

iOS 18.7.11 призначена для пристроїв, які не підтримують новіші версії системи: iPhone XS, iPhone XS Max, iPhone XR та iPad 7-го покоління.

Інші оновлення

Того ж дня Apple випустила iOS та iPadOS 26.7.2 (134 виправлені вразливості), macOS Tahoe 26.7.2 (213) і macOS Sequoia 15.8.2 (197). Оновлення отримали також tvOS 27.2 (72 вразливості), watchOS 27.2 (62), visionOS 27.2 (125) і браузер Safari 27.2 (33).

Як оновитися

На iPhone та iPad оновлення встановлюється в меню «Параметри» → «Загальні» → «Оновлення ПЗ». На Mac це «Системні параметри» → «Загальні» → «Оновлення ПЗ». Власникам iPhone XS, XS Max і XR варто встановити iOS 18.7.11 якнайшвидше, адже виправлена в ній вразливість уже використовувалася в атаках.

Ця стаття Apple закрила 286 вразливостей в iOS і macOS 27.2 та виправила вже атаковану ваду для старих iPhone на iOS 18 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Уряди Нідерландів, Франції, Данії та Фінляндії 21 жовтня тимчасово вимкнули частину своїх сайтів після розкриття двох критичних вразливостей у PHP — мові програмування, на якій працює більшість вебу. Помилки, що роками ховалися в коді, виявили за допомогою штучного інтелекту, а зловмисники, за даними Reuters, почали їх експлуатувати ще до виходу виправлень.

Хто вимкнув сайти

Найрадикальніше відреагували Нідерланди. Національний центр кібербезпеки (NCSC) вимкнув навіть власний сайт, назвавши це запобіжним заходом. Його приклад повторили порт Роттердама, урядовий портал Overheid.nl, Королівська нідерландська футбольна асоціація KNVB, сайти пʼяти найбільших політичних партій країни та кількох лікарень. Премʼєр-міністр Нідерландів заявив, що уважно стежить за ситуацією.

У Данії муніципальна ІТ-компанія Kombit зупинила кілька сервісів, зокрема національну платформу шкільної комунікації. Ще масштабнішими перебої були у Фінляндії: державний постачальник ІТ-послуг Valtori вимкнув публічні мережеві сервіси уряду «з міркувань обережності». МВС Франції перевело всі свої сайти в режим превентивного обслуговування.

Аналогічні кроки зробили й інші країни. За даними Reuters, федеральний ІТ-провайдер Німеччини ITZBund вимкнув кілька сайтів, а МЗС Бельгії тимчасово закрило свої ресурси після повідомлень про атаки, хоча національний центр кібербезпеки не зафіксував жодної атаки на бельгійські сайти.

Наслідки відчули й поза державним сектором. Оператор Вікіпедії вимкнув невизначену кількість систем до встановлення оновлень, а Internet Archive ненадовго пішов в офлайн. Премʼєр-міністерка Японії Санае Такаїчі закликала в X власників сайтів перевірити, чи використовують їхні ресурси PHP, і підготуватися до встановлення виправлення. Білий дім повідомив, що дізнався про вразливість ще в пʼятницю, 16 жовтня.

Що таке PHP2Shell і чому це небезпечно

PHP зʼявилася в середині 1990-х, а її назва спочатку розшифровувалася як Personal Home Page. Коли відвідувач відкриває сторінку, сервер із PHP збирає її вміст і надсилає в браузер. Це вільне програмне забезпечення з відкритим кодом, яке підтримують волонтери. На PHP працюють WordPress, Drupal, Joomla, Magento і MediaWiki — рушій Вікіпедії. За оцінками сервісу W3Techs, на які посилається Reuters, цю мову використовують приблизно 75% сайтів, технологію яких вдається визначити; Wiz оцінює частку в 70%.

Обидві вразливості отримали оцінку 9,2 бала за шкалою CVSS v4.0. Їхня спільна причина — те, як PHP обробляє фатальні помилки, насамперед нестачу памʼяті. За поясненням Wiz, після аварійного завершення запиту в інтерпретаторі може залишитися пошкоджений внутрішній стан, який наступний запит у тому самому робочому процесі використовує повторно. Це відкриває шлях до виконання довільного коду або до витоку даних із памʼяті процесу — паролів, токенів автентифікації, API-ключів і сертифікатів.

Ключова відмінність від звичних вразливостей у плагінах чи CMS полягає в тому, що помилка міститься в самому PHP. Навіть найпростіший застосунок на кшталт «Hello World» на вразливій версії може бути під загрозою. Wiz продемонструвала віддалене виконання коду без автентифікації на актуальних на момент тестування контейнерних образах WordPress, Drupal і Joomla.

За даними команди PHP, ризик існує для всіх інсталяцій, що обслуговують вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищий він для mod_php. Wiz зазначає, що щонайменше одна з помилок присутня в кожній версії PHP за останнє десятиліття, аж до 5.4.

Вразливими будуть усі сервери, що використовують будь-яку версію PHP, випущену за останні 20 років. Ця проблема зачіпає більшу частину інтернету.

За даними компанії Censys, яка аналізує інтернет-інфраструктуру, близько 1,5 млн із 2,6 млн хостів із PHP повідомляють про версію, для якої виправлення не існує.

Як ШІ знайшов те, що люди пропускали понад десять років

Про виявлення вразливостей за допомогою ШІ незалежно одна від одної повідомили дві компанії. Calif заявила, що знайшла помилки з допомогою великої мовної моделі 1 серпня і відтоді працювала над виправленням. Wiz, яка належить Alphabet, натрапила на першу вразливість 19 серпня, використовуючи власний автономний інструмент для пошуку вразливостей Wiz Atlas, а також моделі Gemini 4 Argon від Google і GPT-5.6 Sol від OpenAI. Уже наступного дня дослідники підтвердили віддалене виконання коду на Drupal, ще через день — на WordPress. 24 серпня Wiz передала звіт команді безпеки PHP, яка 21 вересня підтвердила його отримання та почала готувати скоординоване виправлення.

Уразливий код існував понад десять років, але перетворити його на робочий експлойт було надзвичайно складно: доводилося поєднувати кілька помилок і підлаштовуватися під розподіл памʼяті кожної конкретної системи.

До появи ШІ таку ручну роботу було б складно виконати й ще складніше масштабувати. З ШІ це вже не перешкода.

За словами Wiz, з передовими моделями ШІ один дослідник за тиждень зробив те, на що раніше команда світового рівня витратила б місяці. Компанія порівнює PHP2Shell із Heartbleed (2014) і Log4Shell (2021) і вважає, що ця історія може стати переломним моментом епохи ШІ. Calif і Wiz повідомили, що координували роботу між собою, з командою PHP та OpenAI.

Атаки почалися ще до розкриття

Ембарго на інформацію про вразливості втрималося недовго. За даними SentinelOne, ідентифікатори CVE зʼявилися в соцмережах 20 жовтня, і розробники PHP опублікували виправлення наступного дня — трохи раніше запланованих 14:00 UTC.

Утім спроби атак почалися ще раніше. Директор Amazon з інформаційної безпеки Сі Джей Мозес повідомив, що 17 жовтня — за чотири дні до публічного розкриття — команда компанії зафіксувала спробу експлуатації на одній зі своїх систем-приманок (honeypot). Атака надійшла з анонімної IP-адреси, що свідчить про дії зловмисника. Як він дізнався про вразливості, поки діяло ембарго, невідомо. 21 жовтня, ще до зняття ембарго, надійшли нові спроби від кількох джерел. Amazon поки не може сказати, чи спрацювали б вони проти реальних сайтів, але констатує, що вразливості вже масово експлуатують.

Про ранні атаки на своїх клієнтів повідомляв і технічний директор Cloudflare. Експерти очікують хвилю зламів: виправлення тепер публічне, а інструменти ШІ дозволяють без особливих зусиль відновити за ним механізм помилки. Співзасновник компанії TLP:Black, що спеціалізується на кіберрозвідці та реагуванні на інциденти, Костін Раю вважає, що ШІ запустив «перегони з експлуатації».

Наступний крок — масова компрометація кожного вразливого вебсервера в інтернеті.

Масштаб величезний, а з ШІ експлуатація може відбуватися миттєво.

Хто під найбільшим ризиком

Компанія Automattic, оператор WordPress.com, повідомила, що користувачі її хостингових рішень і Tumblr у безпеці. Найбільше ризикують невеликі сайти приватних осіб та організацій з обмеженими технічними ресурсами — часто на спільному хостингу, де клієнти не керують серверами самостійно.

Окрема проблема — застарілі версії. Офіційні виправлення вийшли лише для гілок 8.2–8.5, а PHP 8.1 і старіші проєкт більше не підтримує. Деякі дистрибутиви та LTS-постачальники пропонують перенесені виправлення, але для решти єдиний надійний шлях — перехід на підтримувану версію. Підтримка гілки 8.2 завершується 31 грудня 2026 року.

Що робити власникам сайтів

1. Перевірити, яка версія PHP працює на сервері: командою php -v або в панелі керування хостингом.
2. Оновити PHP до 5.12, 8.4.27, 8.3.36 чи 8.2.35 або встановити пакет дистрибутива з виправленням, а потім перезапустити PHP-FPM чи Apache.
3. Власникам сайтів на спільному хостингу — звернутися до провайдера з вимогою негайно встановити оновлення.
4. Якщо оновитися неможливо, ізолювати вразливі застосунки від інтернету або тимчасово вимкнути їх, як радить CERT-EU.
5. Не покладатися на тимчасові налаштування. Вимкнення upload_progress.enabled чи зміна memory_limit лише частково звужують можливості для атаки: за словами розробників PHP, повністю захищає тільки оновлення. Правила WAF від Cloudflare увімкнено за замовчуванням на всіх тарифах із WAF, включно з безкоштовним, але й вони не замінюють патч.
6. Якщо вразлива система була доступна з інтернету, змінити паролі, токени та ключі, які могли зберігатися в памʼяті процесів PHP. За ознак експлуатації систему варто вважати скомпрометованою.

Історія PHP2Shell демонструє обидва боки технології: ті самі моделі ШІ, що допомогли знайти й виправити помилки, яким понад десять років, тепер скорочують час між публікацією патча і масовими атаками до кількох годин.

Ця стаття Урядові сайти Європи пішли в офлайн: ШІ допоміг знайти критичні вразливості в PHP раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

У бібліотеці RingRTC, на якій працюють голосові та відеодзвінки Signal, виявили критичну вразливість: співрозмовник міг завадити коректному завершенню виклику, і після того, як користувач поклав слухавку, аудіо — а можливо, і відео — продовжувало передаватися. Помилку виправлено у версії RingRTC 2.72.0, тож користувачам варто оновити Signal на всіх пристроях.

Що відомо про вразливість

Вразливість отримала ідентифікатор CVE-2026-113380. Запис про неї MITRE оприлюднила 20 жовтня 2026 року. За стандартом CVSS 4.0 проблему оцінено в 9,3 бала з 10, що відповідає критичному рівню небезпеки. Вразливі всі версії RingRTC до 2.72.0.

RingRTC — власна бібліотека Signal з відкритим кодом, побудована на основі WebRTC. Цю технологію браузери та месенджери використовують для передавання голосу й відео в реальному часі. Саме RingRTC відповідає за дзвінки в застосунках Signal для Android, iOS і компʼютерів.

Як працює атака

Керування дзвінком у RingRTC побудоване на скінченному автоматі (finite state machine, FSM) — компоненті, який відстежує стан виклику й обробляє повʼязані з ним події по черзі. Згідно з технічним описом вразливості, команда на завершення дзвінка не мала жодного пріоритету: вона просто ставала в кінець спільної черги подій, а кількість подій від співрозмовника нічим не обмежувалася. Якщо інший учасник розмови засипав чергу «сміттєвими» запитами, команда завершення могла так і не бути оброблена.

У результаті на екрані користувача дзвінок виглядав завершеним, тоді як аудіоканал — а за певних умов і відеоканал — лишався активним. Співрозмовник міг і далі чути, що відбувається поруч із пристроєм. Вразливість класифікують як CWE-754 — неналежну перевірку незвичних або виняткових умов.

Опис вразливості на GitHub містить концептуальну демонстрацію (proof of concept) — скрипт на Python, що імітує, як переповнення черги подій блокує обробку команди завершення.

Хто може скористатися помилкою

Ключове обмеження: атаку може здійснити лише учасник дзвінка. Стороння особа не здатна в такий спосіб увімкнути мікрофон довільного користувача Signal — жертва має сама прийняти виклик або зателефонувати зловмисникові. Водночас, згідно з оцінкою CVSS, складність атаки низька, а особливі привілеї для неї не потрібні.

Ознак використання вразливості в реальних атаках поки немає: за даними Help Net Security, її не внесено до каталогу активно експлуатованих вразливостей CISA (KEV), а Національна база вразливостей США ще не завершила аналіз.

Для України цей ризик не абстрактний. Signal широко використовують військові, посадовці та журналісти, а у 2025 році Google Threat Intelligence Group повідомляла, що кілька повʼязаних із росією угруповань цілеспрямовано намагаються отримати доступ до облікових записів Signal українських військових і держслужбовців.

Як Signal виправила проблему

Виправлення увійшло до RingRTC 2.72.0. Як випливає з порівняння коду з попередньою версією, тепер скінченний автомат розпізнає команду на завершення дзвінка незалежно від черги подій, а додатковий тайм-аут не дає завислій обробці безкінечно блокувати завершення виклику.

За даними The Register, оновлену бібліотеку випустили ще минулого місяця, проте про саму вразливість публічно стало відомо лише зараз. Коли саме виправлення потрапило до версій Signal для Android, iOS і компʼютерів, з нотаток до релізів незрозуміло. Історія випусків Signal Desktop свідчить, що RingRTC 2.72.0 інтегрували у вересні. На запит журналістів у Signal не відповіли.

Що робити користувачам

• Оновити Signal на всіх пристроях — смартфоні, планшеті й компʼютері. Версія RingRTC в інтерфейсі застосунку не відображається, тому найнадійніший спосіб захиститися — встановити найновішу версію Signal із Google Play, App Store або офіційного сайту signal.org.
• Увімкнути автоматичне оновлення застосунків, щоб наступні виправлення безпеки надходили без затримок.
• Після завершення дзвінка звертати увагу на системний індикатор мікрофона й камери: на iPhone це помаранчева (мікрофон) або зелена (камера) крапка у верхній частині екрана, на Android 12 і новіших — зелений значок у рядку стану. Якщо індикатор не зник, Signal варто примусово закрити.
• З обережністю ставитися до дзвінків від невідомих контактів і несподіваних викликів від знайомих, якщо є підозра, що їхній обліковий запис могли зламати.

Ця стаття Критична вразливість у Signal могла залишати мікрофон увімкненим після завершення дзвінка раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Команда PHP випустила версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35, які усувають дві критичні вразливості віддаленого виконання коду без автентифікації. Відомості про них потрапили в мережу за день до релізу, тому розробники закликають оновитися негайно.

PHP — одна з найпоширеніших мов серверного програмування. На ній працюють системи керування вмістом WordPress, Drupal і Joomla, інтернет-магазини на Magento, панелі керування хостингом і чимало корпоративного програмного забезпечення, яке взагалі не афішує, що використовує PHP.

У бюлетені безпеки, опублікованому 21 жовтня, розробники наголошують: ризик стосується всіх інсталяцій PHP, що обслуговують вебзапити, — PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищим його вважають для mod_php: для цієї конфігурації вже продемонстровано експлойт, у якому запит без автентифікації запускає атаку ще до виконання будь-якого коду застосунку. Обидві вразливості мають оцінку 9,2 за шкалою CVSS v4.0.

У чому суть вразливостей

CVE-2026-109618 повʼязана з обробкою нестачі памʼяті. Така помилка може перервати роботу PHP у момент, коли внутрішні дані запиту ініціалізовано лише частково, а під час очищення ці некоректні дані сприймаються як валідні.

CVE-2026-109619 стосується залишкового глобального стану. Внутрішній стан запиту може зберігатися після звільнення памʼяті, яку він займав, і наступний запит у тому самому робочому процесі здатен скористатися ним раніше, ніж стан буде скинуто.

Ситуація з PHP призведе до цілої лавини інцидентів — це одна з найбільших вразливостей за останні роки

Національний центр кібербезпеки Великої Британії (NCSC) закликав організації негайно оновити PHP, а системи, які не вдається оновити одразу, розглянути можливість відключити від мережі.

Як оновитися

Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 — доступні на сторінці завантажень php.net. Розробники Linux-дистрибутивів і LTS-постачальники отримали патчі заздалегідь, тож оновлені пакети варто шукати в репозиторіях дистрибутива. Власникам сайтів на хостингу слід уточнити в провайдера, чи оновлено PHP на серверах.

Тим, хто встановлює PHP з волонтерського репозиторію rpms.remirepo.net, розробники радять перейти на пакети дистрибутива або зібрати PHP з вихідного коду: у день релізу оновлень у цьому репозиторії не буде.

PHP 8.1 і старіші версії офіційних оновлень від проєкту більше не отримують. Частина дистрибутивів і LTS-постачальників пропонує власні бекпорти виправлень. Крім того, через серйозність вразливостей команда безпеки PHP підготувала мінімальні бекпорти вихідного коду для PHP 7.4, 8.0 і 8.1 — для тих, хто збирає PHP самостійно. Для PHP 5 і гілок 7.0–7.3 виправлень немає: такі системи потрібно оновити до підтримуваної версії або ізолювати від інтернету.

Варто також врахувати, що підтримка PHP 8.2 завершується 31 грудня 2026 року — після цієї дати виправлень безпеки для неї не буде.

Якщо оновитися негайно неможливо

Розробники описали тимчасові заходи, але попереджають: вони лише звужують окремі шляхи атаки й не роблять систему безпечною. Повноцінний захист дає тільки оновлення.

Для CVE-2026-109618 рекомендовано:

• встановити memory_limit=-1 так, щоб застосунки не могли змінити значення, — наприклад, через php_admin_value у конфігурації FPM-пулу або Apache;
• знизити post_max_size: до 8 МБ для застосунків без завантаження файлів і до 32 МБ, якщо завантаження потрібні; upload_max_filesize має бути меншим за post_max_size;
• обмежити розмір і складність запитів на рівні вебсервера або проксі.

Для CVE-2026-109619 рекомендовано:

• вимкнути upload_progress.enabled у php.ini, конфігурації FPM-пулу чи сервера (не через ini_set() і не через .user.ini) та перезапустити всі робочі процеси;
• на PHP 8.5 — додатково встановити fatal_error_backtraces=0 і перезапустити робочі процеси.

Сайти, що працюють через Cloudflare, отримали додатковий рубіж захисту. За словами технічного директора компанії Дейна Кнехта, якого цитує Help Net Security, Cloudflare уже розгорнула правила WAF для відомих векторів атаки на ці вразливості, і вони доступні всім клієнтам, зокрема на безплатному тарифі.

Як стався витік

20 жовтня на форумі Hacker News зʼявився допис про дві критичні вразливості в PHP, які нібито мали розкрити 22 жовтня. Допис швидко видалили, але знімки екрана встигли поширитися соцмережами. Невдовзі дослідники компанії watchTowr підтвердили BleepingComputer, що вразливості справжні.

За останню годину стався витік інформації про дві вразливості віддаленого виконання коду в PHP. Їх мали розкрити після завершення ембарго — у четвер об 11:00 за північноамериканським східним часом

Про витік watchTowr попередила і у дописі в X, назвавши їх вразливостями нульового дня, що перебували під ембарго. Після цього команда PHP опублікувала попереднє оголошення та призначила реліз на день раніше від початкової дати. Серед дослідників вразливості отримали неофіційну назву php2shell.

Неофіційні джерела оцінювали вразливості в максимальні 10 балів за CVSS. Остаточна офіційна оцінка розробників — 9,2 за CVSS v4.0.

Що ще варто зробити адміністраторам

Оновлення закриває вразливості, але не усуває наслідків можливого злому, якщо його вже скоїли. Huntress радить:

1. Скласти перелік усіх інсталяцій PHP — не лише на вебсерверах, а й у неочевидних місцях: у програмному забезпеченні постачальників із вбудованими php.exe чи php-cgi.exe, у панелях керування cPanel і Plesk, на сайтах з WordPress, Drupal, Joomla або Magento.
2. Після оновлення переконатися, що кожен сервер справді перейшов на нову версію, і перезапустити всі робочі процеси PHP.
3. Стежити за процесами, які запускає PHP. Насторожити має ситуація, коли php-fpm, php-cgi чи apache2 запускає командні оболонки, інтерпретатори або утиліти на кшталт curl і wget. Для Linux-серверів без засобів виявлення загроз дослідник Флоріан Рот підготував безплатний інструмент process-watcher.
4. У разі підозри на злам — ізолювати сервер, зберегти журнали вебсервера та PHP, перевірити наявність вебшелів, нових файлів у кореневому каталозі сайту, нових завдань cron і облікових записів.

Ця стаття PHP випустила екстрені виправлення вразливостей php2shell, дані про які витекли заздалегідь раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Microsoft випустила найбільший в історії компанії пакет оновлень безпеки: жовтневий Patch Tuesday виправляє понад 1400 вразливостей у Windows, Office, SharePoint, Exchange та інших продуктах. Серед них — вразливість нульового дня у Windows Shell, яку зловмисники вже експлуатують, щоб обходити попередження системи про небезпечні файли. Для Windows 11 24H2 у редакціях Home і Pro це оновлення стало останнім.

Рекорд, який побили вдруге поспіль

Найбільше виправлень стосується Windows (1102), ще 134 припадають на пакет Office.

Ще місяць тому рекордним вважався вересневий випуск, який налічував майже тисячу виправлень. Для порівняння, за даними Cybernews, за весь 2025 рік у продуктах Microsoft було виявлено 1273 вразливості — менше, ніж компанія закрила лише цього жовтня.

Фахівці повʼязують таке зростання з тим, що моделі ШІ знаходять вразливості швидше, ніж люди. Щоб адміністраторам було легше орієнтуватися в сотнях виправлень, Microsoft почала обʼєднувати вразливості в «групи ризику» (risk cohorts) — за типом середовища, якого вони стосуються. У компанії наголошують, що це експериментальний підхід і він не скасовує потреби встановлювати всі виправлення.

Вразливість у Windows Shell уже використовують в атаках

Найнебезпечніша вразливість місяця — CVE-2026-96951 у Windows Shell з оцінкою 8,8 бала за шкалою CVSS. За даними Microsoft, зловмисники експлуатували її ще до виходу виправлення.

Вразливість дає змогу обійти Mark of the Web (MOTW) — механізм, який позначає файли, завантажені з інтернету, і змушує Windows попереджати користувача або блокувати їх відкриття. За даними Tenable, для атаки достатньо надіслати жертві електронний лист чи повідомлення зі спеціально створеним файлом і переконати її відкрити його. Тобто вирішальну роль, як і в більшості подібних атак, відіграє соціальна інженерія.

Ця вразливість становить серйозну загрозу, оскільки дає змогу зловмисникам обійти важливий механізм захисту Windows, покликаний уберігати користувачів від потенційно небезпечних файлів. Атакувати можна віддалено — достатньо переконати користувача відкрити спеціально створений файл або взаємодіяти зі шкідливим вмістом. Успішна експлуатація може послабити захист Windows і підвищити ризик того, що шкідливий вміст потрапить до користувача без належних попереджень системи безпеки.

Американське агентство з кібербезпеки CISA вже внесло вразливість до каталогу активно експлуатованих і зобовʼязало федеральні установи усунути її до 16 жовтня. Як зазначає Tenable, це вже третя вразливість у Windows Shell, яку цього року використовували в реальних атаках: попередні дві Microsoft закрила в лютому та квітні.

Друга вразливість нульового дня — у .NET Framework

CVE-2026-108398 також отримала 8,8 бала за CVSS. Її деталі оприлюднили ще до виходу виправлення, однак випадків використання в атаках на момент релізу не зафіксовано. За поясненням Tenable, зловмисник може зареєструвати в системі шкідливу збірку .NET, яку завантажить захищений процес, і так обійти Windows Defender Application Control (WDAC) — механізм, що дозволяє запускати лише схвалені застосунки. Тож ця вразливість передусім стосується організацій, які використовують WDAC для контролю програмного забезпечення.

Оцінки кількості критичних вразливостей також різняться: за підрахунком Zero Day Initiative, їх 80, за даними Cybernews — 78, за даними Tenable — 69. Більшість критичних вразливостей дають змогу віддалено виконати код.

Windows 11 24H2 Home і Pro більше не підтримується

Жовтневе оновлення стало останнім для Windows 11 версії 24H2 у редакціях Home і Pro. Компʼютери з цими редакціями більше не отримуватимуть ні оновлень безпеки, ні виправлень помилок. Щоб і надалі мати захист від нових загроз, систему потрібно оновити до актуальної версії — 26H2.

Редакції Windows 11 мають різний термін підтримки: Home і Pro отримують оновлення 24 місяці, Enterprise і Education — 36 місяців. Тому версія 24H2 для Enterprise та Education підтримуватиметься до жовтня 2027 року, а Windows 11 23H2 Enterprise і Education втратить підтримку вже 10 листопада — організаціям варто запланувати оновлення заздалегідь.

13 жовтня завершилася підтримка й інших продуктів Microsoft, зокрема Office 2021 та Office LTSC 2021, а також програми розширених оновлень безпеки (ESU) для Windows Server 2012 і 2012 R2. Користувачам Office 2021 варто запланувати перехід на підтримувану версію пакета або на одну з безкоштовних альтернатив Microsoft Office.

Компʼютери з Windows 10, підключені до програми ESU, і далі отримують виправлення: Microsoft продовжила ESU ще на рік, хоча початково програма мала завершитися 12 жовтня 2026 року.

Які версії Windows отримують оновлення

Накопичувальне оновлення KB5127648 призначене для Windows 11 версій 26H2, 25H2 і 24H2. Для версії 26H2 це перше оновлення безпеки після її виходу. Для Windows 11 26H1 Microsoft випустила окреме оновлення KB5127646, для 23H2 — KB5126653. Свої виправлення отримують також компʼютери з Windows 10 у програмі ESU.

Що ще змінилося: Провідник, Bluetooth і клавіша Copilot

Окрім виправлень безпеки, жовтневий пакет містить зміни, які Microsoft представила у вересневому попередньому оновленні KB5124010. Вони розгортаються поступово, тож на окремих компʼютерах можуть зʼявитися не одразу.

У Провіднику змінилася робота області попереднього перегляду для файлів, завантажених з інтернету: PDF та інші файли, окрім HTML, тепер відображаються автоматично, а для HTML-файлів зʼявилася кнопка Preview anyway, яка дає змогу переглянути файл після попередження. Головна сторінка Провідника тепер запамʼятовує стан розділів (розгорнуті чи згорнуті), а мініатюри хмарних файлів в області відомостей відображаються стабільніше.

Для Bluetooth-пристроїв покращено точність відображення стану підключення, стабільність сторінки «Bluetooth і пристрої» в параметрах, сумісність мікрофонів і роботу з аксесуарами LE Audio. Також усунено збій із кодом 0x139, який міг виникати під час передавання звуку через Bluetooth.

Крім того, у Windows 11 зʼявилося налаштування, яке дає змогу перепризначити клавішу Copilot: замість виклику ШІ-асистента вона може працювати як правий Ctrl або як клавіша контекстного меню.

Як встановити оновлення

Зважаючи на активно експлуатовану вразливість, оновлення варто встановити якнайшвидше. Зазвичай Windows завантажує його автоматично. Щоб перевірити вручну, у Windows 11 слід відкрити «Параметри» → Windows Update і натиснути «Перевірити наявність оновлень». Якщо оновлення вже завантажене, система запропонує перезавантажити компʼютер. У Windows 10 з підключеною програмою ESU порядок дій аналогічний.

Власникам компʼютерів із Windows 11 24H2 Home чи Pro у тому ж розділі має зʼявитися пропозиція перейти на версію 26H2. Перед таким оновленням варто зробити резервну копію важливих даних або створити точку відновлення системи.

Організаціям варто врахувати відому проблему: після встановлення оновлення користувачі без прав адміністратора можуть не підключитися через Remote Desktop до компʼютерів з увімкненим захистом адміністратора (Administrator protection). Microsoft визнала цю проблему і працює над виправленням.

Ця стаття Жовтневе оновлення Windows закрило понад 1400 вразливостей — одну з них уже використовують в атаках раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

14 вересня Apple випустила iOS 27, iPadOS 27, macOS Golden Gate 27 та оновлення для попередніх версій своїх систем. Лише два нові великі релізи закривають понад 200 вразливостей, серед яких — десятки помилок у ядрі. Даних про використання цих вразливостей в атаках немає, проте після публікації технічних деталей ризик для неоновлених пристроїв зростає.

Що виправлено в iOS 27 та iPadOS 27

За даними бюлетеня безпеки Apple, iOS 27 та iPadOS 27 усувають близько 126 вразливостей. Двадцять із них стосуються ядра системи: це помилки, які могли дозволити застосунку аварійно завершити роботу системи, пошкодити чи прочитати памʼять ядра або отримати права root.

Адам Бойнтон із компанії Jamf, що спеціалізується на керуванні пристроями Apple, виокремлює вразливість CVE-2026-64752 у фреймворку обробки медіа CoreMedia. Згідно з описом Apple, обробка спеціально створеного зображення могла призвести до виконання довільного коду.

Зловмисник міг скомпрометувати iPhone, просто показавши користувачеві шкідливе зображення. Цікаво, що Apple не стала виправляти вразливий код, а повністю його видалила.

Серед інших помітних виправлень в iOS 27:

• CVE-2026-65414 у Bluetooth — віддалений зловмисник міг спричинити аварійне завершення застосунку або виконати довільний код;
• дві вразливості в модемі (Baseband) — атакувальник у радіусі дії радіосигналу міг спричинити збій системи або відмову в обслуговуванні;
• CVE-2026-65329 у компоненті Telephony — зловмисник із привілейованою позицією в мережі міг обійти автентифікацію IPSec і перехопити трафік;
• CVE-2026-43674 у Wi-Fi — людина з фізичним доступом до розблокованого пристрою могла переглянути паролі Wi-Fi без автентифікації;
• CVE-2026-84607 в AVEVideoEncoder — застосунок у пісочниці міг виконати довільний код із привілеями ядра.

Виправлення охоплюють понад 90 компонентів систем, зокрема AppleKeyStore, Authentication Services, Foundation, Safe Browsing, Sandbox, Security, TCC і WebKit.

macOS Golden Gate 27, Tahoe 26.7 і Sequoia 15.8

macOS Golden Gate 27 усуває 210 вразливостей, приблизно сотня з яких спільна з iOS 27. Нова система доступна лише для Mac з процесорами Apple silicon та MacBook Neo, тож власники Mac на Intel залишаються на гілці Tahoe.

Для них Apple випустила macOS Tahoe 26.7, яка, за підрахунком SecurityWeek, виправляє 153 унікальні CVE. Бюлетень Apple містить 27 записів про вразливості ядра: вони могли призвести до пошкодження памʼяті, підвищення привілеїв, аварійного завершення роботи системи чи витоку даних. Серед інших виправлень — CVE-2026-65400 у Screen Sharing, через яку атакувальник у мережі міг автентифікуватися без дійсних облікових даних, і CVE-2026-43692 у системі друку CUPS, що дозволяла віддалене виконання коду.

Більшість вразливостей виявили у 2026 році, однак оновлення закриває й давню CVE-2022-3437 — переповнення буфера в купі в бібліотеці Heimdal, яку використовує Samba. У відкритих базах вразливостей її оцінюють як середню за небезпекою: вона може використовуватися для атак типу «відмова в обслуговуванні» (DoS). Apple у своєму бюлетені зазначає, що атакувальник із привілейованою позицією в мережі міг отримати доступ до конфіденційної інформації.

macOS Sequoia 15.8 містить понад 150 виправлень, більш ніж 140 з яких збігаються з Tahoe 26.7.

Хто отримає iOS 27, а хто — iOS 26.7

Згідно зі сторінкою оновлень Apple, iOS 27 доступна для iPhone 11 і новіших моделей. Вимоги до iPad зросли: iPadOS 27 підтримує iPad Pro 12,9 дюйма 4-го покоління та новіші, iPad Pro 11 дюймів 2-го покоління та новіші, iPad Air 4-го покоління, iPad 9-го покоління та iPad mini 6-го покоління і новіші.

Власники iPad Pro 12,9 дюйма 3-го покоління, iPad Pro 11 дюймів 1-го покоління, iPad Air 3-го покоління, iPad 8-го покоління та iPad mini 5-го покоління отримують iPadOS 26.7. Це оновлення доступне й для iPhone тим, хто поки не хоче переходити на iOS 27. Воно закриває понад 80 вразливостей, більшість із яких виправлено і в iOS 27.

Оновлення для інших пристроїв

Одночасно Apple випустила tvOS 27, watchOS 27 і visionOS 27, кожна з яких усуває кілька десятків вразливостей, а також Safari 27 із шістьма виправленнями та Xcode 27 з одним.

Чи використовуються вразливості в атаках

Apple не повідомляє, що якусь із виправлених вразливостей використовували в реальних атаках. Водночас, як зауважує MacRumors, після публікації деталей неоновлені пристрої можуть опинитися під загрозою, тому оновлення варто встановити якнайшвидше.

Для організацій, за словами Бойнтона, важлива не лише кількість виправлень, а й швидкість їх розгортання.

Кількість виправлень в iOS 27 важить менше, ніж те, де саме вони розташовані, а цей реліз зосереджений на ядрі, а не на браузері. Для компаній щовересня постає те саме питання: скільки часу потрібно, щоб виправлення, яке Apple випустила в перший день, дісталося до кожного пристрою з доступом до корпоративних даних? Раніше ця затримка була вимушеним обмеженням, а тепер це вибір: завдяки підтримці в день релізу весь парк пристроїв можна оновити за кілька годин, а не тижнів.

Як встановити оновлення

На iPhone та iPad оновлення доступне в меню Параметри → Загальні → Оновлення ПЗ, на Mac — у Системні параметри → Загальні → Оновлення ПЗ.

Фахівці SANS Internet Storm Center повідомляють про дві особливості. По-перше, частина користувачів бачить завантаження iOS 26.7 замість iOS 27, хоча фактично може встановлюватися саме iOS 27, тож після оновлення варто перевірити номер версії. По-друге, деякі захисні утиліти для Mac, зокрема Little Snitch, потребують оновлення ще до переходу на macOS Golden Gate 27. Також варто памʼятати, що після встановлення нових версій iOS і iPadOS повернутися до попередньої неможливо.

Ця стаття Apple виправила понад 200 вразливостей в iOS 27 та macOS Golden Gate 27 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Приватна операційна система GrapheneOS уперше залишає екосистему Google Pixel. Розробники підтвердили, що підтримка смартфонів Motorola стартує в 2027 році — спершу для звичайного нескладаного флагмана, а вже потім для складаних моделей Razr. Пристрої обіцяють забезпечити сімома роками повноцінних оновлень операційної системи.

Що саме анонсували розробники

GrapheneOS Foundation, яка розвиває цю систему, повідомила у Mastodon, що першим етапом партнерства з Motorola стане звичайний нескладаний пристрій. Складані Razr Fold і Razr Ultra отримають підтримку пізніше.

Для GrapheneOS це принципова зміна: понад десять років проєкт залишався привʼязаним до апаратної платформи Google. Підтримка вертикально складаного смартфона стане для системи цілком новим форм-фактором — досі вона працювала лише зі звичайними смартфонами, планшетом і горизонтально складаними моделями Pixel Fold.

Motorola братиме на себе значну частину роботи з портування системи: виробник надаватиме прошивки та драйвери у форматі, потрібному GrapheneOS, а проблеми з цими компонентами вирішуватимуться напряму з Motorola та Qualcomm, зазначає Android Authority. За словами розробників, це зробить пристрої Motorola простішими в підтримці, ніж новіші Pixel.

Чому моделі 2026 року підтримки не отримають

Поточне покоління — Motorola Signature (2026), Razr Fold (2026) і Razr Ultra (2026) — дуже близьке до вимог проєкту, але їм бракує апаратного маркування памʼяті (MTE), належної інтеграції захищеного елемента та інших функцій, які додадуть лише у 2027 році. Ретроактивної підтримки для нинішніх моделей не буде.

Ці можливості повʼязують із наступним поколінням флагманської платформи Qualcomm Snapdragon. Саме тому вихід GrapheneOS на пристрої Motorola очікується 2027 року, а не раніше.

Апаратне маркування памʼяті — механізм, який дає змогу виявляти цілі класи помилок роботи з памʼяттю ще до того, як зловмисник встигне їх використати. Захищений елемент — окремий криптографічний чип, що зберігає ключі шифрування та обмежує кількість спроб підбору коду розблокування.

Сім років оновлень і ядро Linux 6.18 LTS

Майбутні пристрої Motorola відповідатимуть офіційним вимогам проєкту або перевищуватимуть їх: сім років повноцінних оновлень, старт із ядра Linux 6.18 LTS із можливістю переходу на нову гілку, а також захист від атак скидання для режимів завантаження прошивки.

Для порівняння: за даними CNET, Razr Ultra 2026 року отримує три роки оновлень операційної системи та пʼять років оновлень безпеки. Редактори видання зазначають, що підтримка GrapheneOS могла б підтягнути програмний супровід смартфонів Motorola до флагманського рівня Samsung і Google. Про те, як довго виробники загалом підтримують свої моделі, ми писали в окремому матеріалі про останній рік підтримки смартфонів.

Чим GrapheneOS відрізняється від звичайного Android

На відміну від Android у версії Google, GrapheneOS не містить застосунків і сервісів Google за замовчуванням. Детальний розбір того, що таке GrapheneOS і як влаштований її захист, ми публікували раніше — тут обмежимося ключовим. Google Play за потреби встановлюється як звичайний застосунок у стандартній пісочниці — без привілейованого доступу до системи.

Серед інших ключових можливостей системи: окремий дозвіл на доступ до мережі та до сенсорів, посилений розподільник памʼяті hardened_malloc, автоматичне перезавантаження заблокованого пристрою через заданий час, а також захищений браузер Vanadium із вимкненою за замовчуванням JIT-компіляцією JavaScript.

Наразі GrapheneOS офіційно підтримує лише окремі моделі Pixel — від Pixel 6 до Pixel 10a. Проєкт пояснює це тим, що саме ці пристрої відповідають його суворим стандартам приватності та безпеки й мають значний обсяг адаптації під конкретне обладнання.

Пароль «під примусом» і судова справа у США

GrapheneOS має функцію пароля під примусом (duress PIN/password): якщо ввести спеціально задану комбінацію будь-де, де система запитує код розблокування, пристрій незворотно стирає дані разом із встановленими eSIM. Стирання не потребує перезавантаження й не може бути перерване.

У липні 2026 року ця функція вперше опинилася в центрі кримінального провадження. Міністерство юстиції США висунуло звинувачення активісту Семюелу Танніку. За версією обвинувачення, 24 січня 2025 року в аеропорту Гартсфілд-Джексон в Атланті він назвав прикордонникам код, після введення якого дані на смартфоні Google Pixel були видалені.

Танніка звинувачують за рідковживаною нормою — 18 U.S.C. § 2232, яка забороняє свідомо знищувати майно, щоб перешкодити його вилученню. Адвокати підтвердили, що на телефоні була встановлена GrapheneOS, однак захист не визнає, що клієнт навмисне ініціював стирання, і подав клопотання про визнання доказів недопустимими: за його версією, затримання й огляд були незаконними, а в доступі до адвоката підзахисному відмовили.

Юристи та фахівці з безпеки називають цю справу першим відомим у США випадком, коли предметом судового розгляду стало використання пароля під примусом.

Що це означає для користувачів

Поява GrapheneOS на пристроях Motorola дає користувачам, які хочуть відмовитися від екосистеми Google, перший реальний варіант поза лінійкою Pixel — а разом із ним і нові форм-фактори. Водночас розробники попереджають: перші сумісні моделі будуть дорогими флагманами, ціна яких перевищить вартість Pixel.

Розробникам відкритих застосунків доведеться врахувати новий тип екрана: вертикально складані смартфони вимагають окремої адаптації інтерфейсу. Для екосистеми GrapheneOS це буде першим таким досвідом.

Ця стаття GrapheneOS вийде за межі Pixel: смартфони Motorola отримають підтримку з 2027 року раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

2026 рік стане межею гарантованої програмної підтримки для десятків моделей смартгодинників трьох найбільших платформ — Apple, Google та Samsung. Пристрої не «помруть», однак припинять отримувати оновлення функцій і, що критичніше, оновлення безпеки. Для власників, які використовують смартгодинник для безконтактних платежів або зберігання медичних даних, це створює предметні ризики.

За зведеним аналізом офіційних сторінок виробників, лише Apple з виходом watchOS 27 вилучає зі списку сумісності пʼять моделей одним оновленням — це один із найагресивніших зрізів підтримки за всю історію Apple Watch.

Які моделі Apple Watch не отримають watchOS 27

Згідно з офіційною сторінкою watchOS 27 на сайті Apple, нова версія системи буде сумісна лише з шістьма моделями: Apple Watch Series 9, Series 10, Series 11, Ultra 2, Ultra 3 і SE третього покоління. Для встановлення потрібен iPhone 11 або новіший (чи iPhone SE другого покоління або новіший) з iOS 27.

Це означає, що без гарантованих оновлень залишаться Apple Watch Series 6, Series 7, Series 8, Apple Watch SE другого покоління та перше покоління Apple Watch Ultra. Останні дві моделі вийшли лише у 2022 році, тобто Apple скорочує вікно підтримки для флагманського Ultra першого покоління до чотирьох років — попри традиційне шести-семирічне вікно для попередніх серій.

Як пояснила у коментарі TechRadar менеджерка Apple з маркетингу продукту Apple Watch і Health Кейт Дулі, скорочення списку сумісності обумовлене прагненням гарантувати «найкращий досвід» на кожній підтримуваній моделі. Фактично межу проведено по чипу S9 SiP: Siri з елементами ШІ та інші нові функції потребують саме цієї архітектури.

Публічний реліз watchOS 27 очікується у вересні 2026 року — за традицією Apple разом із запуском нового iPhone і нових моделей Apple Watch.

Google Pixel Watch 2 добігає кінця трирічного вікна оновлень

Компанія Google діє за прозорою трирічною політикою підтримки Pixel Watch від дати запуску пристрою в Google Store — про це йдеться на офіційній сторінці підтримки Google Pixel Watch. Pixel Watch 2, який вийшов у жовтні 2023 року, має гарантоване вікно оновлень до жовтня 2026 року. Йдеться про оновлення Wear OS і патчі безпеки — після зазначеної дати офіційна підтримка припиняється.

Календар припинення підтримки для актуальної лінійки Google виглядає так: Pixel Watch 2 — жовтень 2026 року, Pixel Watch 3 — жовтень 2027 року, Pixel Watch 4 — жовтень 2028 року. При цьому Google не розділяє оновлення на функціональні та безпекові: усе входить у єдине трирічне вікно.

Показовим є досвід власників першого покоління Pixel Watch, підтримка якого офіційно завершилася у жовтні 2025 року. Ще у березні 2026 року Google випустив для нього позачергове оновлення модема, спрямоване виключно на виправлення роботи екстрених викликів E911. Це підкреслює характер підтримки поза гарантованим вікном: точкові виправлення критичних вразливостей можливі, але не гарантовані.

Google пропонує безпрецедентні сім років підтримки для смартфонів лінійки Pixel, однак для смартгодинників така політика не діє — виробник наразі має найкоротший цикл підтримки серед великих брендів.

Samsung Galaxy Watch 5 і 5 Pro: останній рік Wear OS-оновлень

Підхід Samsung ділиться на дві частини: окреме вікно для великих оновлень Wear OS і окреме — для патчів безпеки. За політикою, чинною з часів Galaxy Watch 4, компанія забезпечує чотири великі оновлення операційної системи та пʼять років патчів безпеки — про це йдеться в зведенні endoflife.date, що агрегує офіційні дати підтримки Samsung.

Ключові дати для наявних моделей: Galaxy Watch 4 і Watch 4 Classic (серпень 2021 року) — підтримка Wear OS уже завершена, оновлення безпеки припиняться найближчим часом; Galaxy Watch 5 і Watch 5 Pro (серпень 2022 року) — оновлення Wear OS до 31 грудня 2026 року, патчі безпеки триватимуть далі; Galaxy Watch 6 і Watch 6 Classic (серпень 2023 року) — оновлення Wear OS до грудня 2027 року; Galaxy Watch FE — оновлення Wear OS до грудня 2028 року.

Показово, що для Galaxy Watch 5 виробник продовжує випускати регулярні патчі: у січні 2026 року вийшло оновлення, яке усунуло 55 вразливостей, а у травні 2026 року — ще одне, закриваючи 36 проблем безпеки. Однак після 31 грудня 2026 року нових версій Wear OS для Watch 5 не буде: користувачі залишаться на поточній версії One UI Watch із подальшими квартальними патчами до вичерпання пʼятирічного циклу.

Водночас із запуском Galaxy Watch 9 і Galaxy Watch Ultra 2 у липні 2026 року Samsung анонсувала розширення політики до пʼяти великих оновлень Wear OS та пʼяти років патчів безпеки. Однак ретроспективно ця норма на попередні моделі не поширюється.

Що насправді означає «припинення підтримки»

Формулювання «end of support» звучить різкіше, ніж є насправді. Смартгодинник не перетвориться на «цеглину»: він продовжить відстежувати активність, показувати сповіщення, синхронізуватися зі смартфоном та виконувати більшість щоденних функцій. Втрачається інше — рух уперед: не зʼявляться нові функції ОС, не буде поліпшень сумісності із застосунками і, залежно від виробника, припиниться постачання патчів безпеки.

Саме останній пункт становить прямий інтерес для безпеки користувача. Якщо смартгодинник використовується для безконтактних платежів (Apple Pay, Google Wallet, Samsung Wallet), відсутність своєчасно закритих вразливостей потенційно відкриває вікно для атак на платіжні дані. Аналогічний ризик стосується моделей, що зберігають медичні показники (ЕКГ, дані про артеріальний тиск, показники сну) або мають LTE-модуль і фактично працюють як самостійний звʼязковий пристрій.

Практична рекомендація: власникам моделей із наближенням кінця підтримки варто перевірити, які функції платежів і збору чутливих даних активовані на пристрої, оцінити, наскільки критичне для них подальше отримання оновлень безпеки, і планувати оновлення до безпечнішої моделі синхронно з виходом їх із гарантованого циклу. У сімʼях, де смартгодинник передається старшій дитині чи літньому родичу, доцільно вимкнути платіжні функції на пристрої з припиненою підтримкою.

Ця стаття У 2026 році Apple, Google та Samsung припиняють підтримку низки популярних смартгодинників раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Apple випустила iOS 26.6.1, iPadOS 26.6.1 та macOS Tahoe 26.6.2. Оновлення усувають майже три десятки вразливостей, серед яких — можливість виконання довільного коду через оброблення зображення та обхід автентифікації IPSec на iPhone. Це вже третій пакет патчів безпеки за три тижні. Паралельно вийшло оновлення для старіших пристроїв — iOS 18.7.10 та iPadOS 18.7.10, — і воно виявилося значно масштабнішим: понад 120 виправлень.

iOS 26.6.1 та iPadOS 26.6.1: 29 вразливостей

Згідно з бюлетенем безпеки Apple, оновлення для актуальних поколінь iPhone та iPad закриває 29 вразливостей. Компанія зазначає, що ці виправлення вперше зʼявилися у бета-версіях iOS 27 та iPadOS 27. Оновлення доступне для iPhone 11 і новіших, а також для широкого переліку моделей iPad.

Найпомітніші з усунутих проблем:

• Audio (CVE-2026-65339) — логічна помилка, через яку застосунок міг отримати доступ до чутливих даних користувача. Виявлена командою Meta Red Team X.
• ImageIO (CVE-2026-65346) — цілочисельне переповнення під час оброблення зображення могло призвести до виконання довільного коду. Друга вразливість у тому самому компоненті (CVE-2026-65347) загрожувала відмовою в обслуговуванні.
• Ядро — три окремі вразливості: use-after-free, що дозволяв віддаленому зловмиснику аварійно завершити роботу системи; читання за межами буфера з можливістю зчитати памʼять ядра; а також пошкодження памʼяті ядра застосунком.
• Telephony (CVE-2026-65329) — проблема, актуальна лише для iPhone: зловмисник із привілейованою позицією в мережі міг обійти автентифікацію IPSec і перехопити мережевий трафік. Про неї повідомили дослідники Рурського університету в Бохумі.

macOS Tahoe 26.6.2: той самий перелік мінус телефонія

Бюлетень для macOS містить 28 вразливостей — той самий набір, що й у мобільних системах, за винятком вразливості Telephony, яка стосується лише iPhone. Ці патчі, за даними Apple, вперше вийшли в беті macOS Golden Gate 27.

Оновлень для macOS Sequoia та macOS Sonoma цього разу не було: власники Mac, які не підтримують Tahoe, патчів не отримали. Того ж дня вийшла visionOS 26.6.1, однак деталі щодо неї Apple на момент публікації ще не оприлюднила.

21 із 29 вразливостей — у WebKit

Найбільша частка виправлень припадає на WebKit — рушій, на якому працює Safari й усі браузери на iPhone та iPad. З 29 вразливостей у бюлетені iOS 21 стосується WebKit та повʼязаних із ним компонентів WebKit History і WebKit Storage. Здебільшого йдеться про пошкодження памʼяті та аварійне завершення Safari під час оброблення спеціально сформованого вебвмісту, а одна проблема дозволяла зловмисному сайту отримати доступ до чутливих даних.

Девʼять із цих CVE зараховано підрозділу OpenAI Codex Security — тобто знайдено за допомогою ШІ. Це не поодинокий випадок: у бюлетені для старіших пристроїв Apple окремо згадує дослідників, які вказали на використання ШІ у своїй роботі.

Чому патчі виходять частіше

Три релізи безпеки за три тижні — 27 липня, 6 серпня та 17 серпня, судячи зі сторінки бюлетенів Apple — темп, нетиповий для компанії. Одна з причин у тому, що інструменти на основі ШІ різко здешевили й прискорили пошук вразливостей.

Зворотний бік цього процесу — потік неякісних звітів. У настановах програми Apple Security Bounty компанія прямо зазначає, що отримує багато повідомлень про нібито серйозні проблеми безпеки, згенерованих великими мовними моделями й надісланих без доказів або перевірки людиною. За повторне надсилання таких звітів — зокрема про теоретичні проблеми чи знайдені ШІ без належної валідації — Apple може призупинити розгляд заявок дослідника на 180 днів, а після двох призупинень назавжди виключити його з програми.

У червні 2026 року компанія додатково обмежила кількість одночасно відкритих звітів від одного дослідника та запровадила 30-денну паузу після досягнення ліміту. Ці зміни Apple підтвердила виданню Financial Times, зазначивши, що дослідники можуть у будь-який момент запросити збільшення ліміту.

Старіші iPhone та iPad отримали понад 120 виправлень

Окремий пакет — iOS 18.7.10 та iPadOS 18.7.10 — призначений для пристроїв, які не підтримують iOS 26: iPhone XS, iPhone XS Max, iPhone XR та iPad 7-го покоління. Його бюлетень перелічує понад 120 CVE, тобто вчетверо більше, ніж основне оновлення.

Причина в тому, що це накопичувальний реліз: він містить виправлення, які раніше вийшли в бета-версіях iOS 26.6 та iOS 27. Серед них — понад півтора десятка вразливостей ядра, помилки у Wi-Fi, Siri, «Контактах», обробленні зображень і 3D-моделей, а також вразливість в AVEVideoEncoder (CVE-2026-64747), що дозволяла застосунку виконати довільний код із привілеями ядра.

Показово, що серед авторів звітів у цьому бюлетені є дослідники, які прямо вказали на роль ШІ: CVE-2026-64757 у WebKit зараховано Міладу Насру та Ніколасу Карліні «з Claude, Anthropic», а CVE-2026-28984 — Артему Дінабургу з Trail of Bits через процедуру координованого розкриття Anthropic.

Активної експлуатації не зафіксовано

Apple не повідомляє про жодну з усунутих вразливостей, яку б зловмисники вже використовували в реальних атаках. Це не привід відкладати оновлення: після публікації бюлетенів технічні деталі стають доступними всім, і пристрої на старих версіях перетворюються на зручну мішень.

Як встановити оновлення

• iPhone та iPad: Параметри → Загальні → Оновлення ПЗ
• Mac: Системні параметри → Загальні → Оновлення ПЗ

Перед встановленням варто переконатися, що пристрій заряджений щонайменше наполовину або підключений до живлення, а на накопичувачі достатньо вільного місця. Оновлення для iOS, iPadOS та visionOS неможливо відкотити до попередньої версії після встановлення.

Раніше CyberCalm писав, що Apple випустила iOS та macOS 26.4 з виправленням понад 80 вразливостей. Про серпневий пакет патчів від іншого техногіганта — у матеріалі «Серпневий Patch Tuesday: Microsoft закрила 421 вразливість, зокрема 0-day для атак Lazarus».

Ця стаття Apple закрила майже 30 вразливостей в iOS 26.6.1 та macOS Tahoe 26.6.2 — третє оновлення безпеки за три тижні раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

11 серпня 2026 року Microsoft випустила щомісячний пакет оновлень безпеки, який закриває 421 вразливість у Windows, Office, SharePoint, Exchange, Azure та інших продуктах. Три з них належать до «нульового дня»: одну — CVE-2026-68820 — північнокорейське угруповання Lazarus уже застосовувало в атаках на підприємства оборонної та аерокосмічної галузей, ще дві були оприлюднені публічно до появи виправлень.

Що саме закрито: 421 вразливість, більше половини — у Windows

Згідно з довідником безпеки Microsoft, серпневий випуск містить 421 вразливість у продуктах компанії. Більше половини з них — 236 — припадає на Windows: вони постачаються кумулятивним оновленням, яке виходить у 32 окремих пакетах для різних версій системи.

Розподіл за іншими родинами продуктів такий:

• Office — 98 вразливостей. Для всіх версій, окрім Office 2016, виправлення виходять кумулятивним оновленням; для Office 2016 ті самі 98 вразливостей закривають 18 окремих пакетів;
• SharePoint Server — 30;
• Developer Tools — 26;
• Azure — 17;
• Exchange Server — 7;
• інші продукти — 6;
• Microsoft Defender — 1.

Окремо компанія переопублікувала дві вразливості, зареєстровані не нею, а MITRE: CVE-2026-6726 і CVE-2026-6727 у Windows TPM. До підсумкової цифри 421 вони не входять.

Як «примітні» Microsoft позначила лише дві позиції: CVE-2026-68820, для якої зафіксовано експлуатацію, і CVE-2026-62832, відому публічно до випуску виправлення. Третю вразливість нульового дня, CVE-2026-72971, компанія до цього переліку не внесла, хоча Tenable і BleepingComputer класифікують її саме так — її оприлюднили до появи патча.

Серпневий випуск менший за липневий, у якому довідник безпеки налічував 622 вразливості — рекорд за всю історію компанії. За аналізом Tenable, найбільшу частку серпневих виправлень становить підвищення привілеїв (понад 40 %), далі йде віддалене виконання коду (близько 27 %).

CVE-2026-68820: 0-day у мережевому драйвері ядра Windows

Єдина вразливість цього місяця, яку Microsoft позначила як таку, що вже використовується в атаках, — CVE-2026-68820 з оцінкою CVSS 7.0. Це помилка типу use-after-free у драйвері Windows Ancillary Function Driver for WinSock (afd.sys), який обслуговує мережеві сокети й присутній фактично на кожному пристрої з Windows.

Локально автентифікований зловмисник, який уже виконує код на машині, може запустити спеціально сформований застосунок, спровокувати стан гонитви (race condition) і підвищити привілеї до рівня SYSTEM. Взаємодія з користувачем не потрібна. Це не «вхідні двері»: вразливість працює як другий крок ланцюжка, коли початковий доступ уже здобуто.

Це вже четвертий 0-day у afd.sys із 2022 року — раніше в атаках використовували CVE-2024-38193, CVE-2025-21418 і CVE-2025-32709. Того ж дня Microsoft закрила ще дві вразливості в цьому драйвері, CVE-2026-61348 і CVE-2026-70307, обидві з оцінкою 7.0; випадків їх експлуатації не зафіксовано.

Операція Dream Job: фальшиві пропозиції роботи, бекдор Troy і руткіт FudModule

Вразливість виявили дослідники Check Point Моше Марелус (Moshe Marelus) і Девід Дрікер (David Driker). За даними Check Point Research, її використовувало угруповання Lazarus, повʼязане з КНДР, у новій хвилі кампанії Operation Dream Job. Мішені — підприємства оборонної, аерокосмічної та авіаційної галузей у Європі, Азії та Південній Америці, зокрема у Франції, Німеччині, Бразилії та Індії.

Схема будується на соціальній інженерії: під виглядом рекрутерів у LinkedIn або месенджерах зловмисники пропонують посаду у відомій компанії й підводять жертву до завантаження шкідливого файлу. Дослідники зафіксували два паралельні ланцюжки зараження:

• через DLL sideloading — архів із легітимним підписаним переглядачем PDF, шкідливою бібліотекою та зашифрованим навантаженням, яке запускає в памʼяті завантажувач MISTPEN, а згодом бекдор ForestTiger;
• через SecurityPDF — троянізований переглядач PDF, який поширювали з сайтів, що видавали себе за компанію Enveil. Він перевіряє відкриті документи на прихований маркер і запускає в памʼяті раніше не описаний бекдор Troy.

Після закріплення в системі шкідливе ПЗ застосовує CVE-2026-68820, щоб підвищити привілеї та запустити нову версію руткіта FudModule (за класифікацією Check Point — v3.1). Руткіт приховує присутність зловмисників від засобів захисту й вимикає механізми журналювання; у цій версії зʼявилася можливість втручатися в перевірку довіри до запущеного програмного забезпечення.

Управління зараженими машинами відбувається не через власні сервери угруповання, а через зламані інсталяції вебпошти Roundcube і CMS-платформ, багато з яких вразливі до CVE-2025-49113. На них розміщують раніше не описаний PHP-вебшел RelayShell, що працює як ретранслятор команд. Check Point виявила щонайменше 17 унікальних ідентифікаторів серверів у цій мережі, а оператори підключалися до них через комерційні VPN.

Про вразливість Check Point повідомила Microsoft 28 липня 2026 року, компанія підтвердила проблему за три дні, 5 серпня присвоїла ідентифікатор CVE-2026-68820, а виправлення випустила 11 серпня. Публічно Microsoft атаки не атрибутувала й деталей експлуатації не розкрила.

CVE-2026-62832: підвищення привілеїв через службу профілів користувачів

Друга вразливість нульового дня має оцінку CVSS 7.8 і була публічно розкрита до появи виправлення. Автентифікований локальний зловмисник, який має облікові дані іншого локального облікового запису, може запустити спеціально сформований застосунок і завантажити кущ реєстру іншого користувача — отримавши доступ до його даних і права адміністратора.

Microsoft приписала знахідку анонімному досліднику, однак опис збігається з 0-day під назвою LegacyHive, який дослідник під псевдонімом Nightmare Eclipse (також Chaotic Eclipse) оприлюднив 14 липня — за кілька годин після липневого Patch Tuesday. Офіційного підтвердження звʼязку між LegacyHive і CVE-2026-62832 немає.

Оприлюднений тоді PoC був навмисно обмежений: він працює лише з кущем usrclass.dat і потребує облікових даних другого стандартного користувача. Дослідник стверджував, що початкова версія експлойта таких обмежень не мала.

CVE-2026-72971: несанкціонована зміна даних у драйвері unionfs.sys

Третій 0-day стосується драйвера-фільтра файлової системи ізоляції контейнерів Windows (unionfs.sys). Це вразливість типу tampering — несанкціонована зміна даних — з оцінкою CVSS 5.5. Її також розкрили до випуску виправлення, однак Microsoft оцінює ймовірність експлуатації як низьку. Де саме вразливість було оприлюднено, компанія не повідомила, а знахідку приписала дослідникам під псевдонімами yhw і txz. Найбільше це стосується інфраструктури з контейнерними навантаженнями Windows.

Чотири вразливості з оцінкою 9.8, які не потребують ані облікового запису, ані дій користувача

Попри нижчий бал, першою слід виправляти саме CVE-2026-68820 — вона вже використовується в атаках. Наступний пріоритет, за оцінкою The Hacker News, — чотири вразливості віддаленого виконання коду з оцінкою CVSS 9.8, для експлуатації яких не потрібні ані автентифікація, ані дії користувача:

• CVE-2026-62878 — Windows DNS Server: переповнення буфера в стеку, доступне віддалено. Zero Day Initiative описує умови як придатні для створення мережевого хробака, однак сам факт існування такого хробака не встановлено, а Microsoft оцінює ймовірність експлуатації як низьку;
• CVE-2026-62893 — Windows Deployment Services: вразливий компонент TFTP-сервера;
• CVE-2026-62815 — реалізація протоколу QUIC від Microsoft;
• CVE-2026-59124 — HPC Pack: та сама оцінка, але статус «важлива», а не «критична», оскільки компонент не встановлюється за замовчуванням. Ймовірність експлуатації Microsoft вважає високою.

На момент випуску оновлень жодну з них не було позначено як таку, що використовується в атаках.

Окремо серпневий пакет завершує двоетапне виправлення ланцюжка атак на локальні інсталяції SharePoint, про який Rapid7 Labs повідомила Microsoft 18 травня. У липні закрили обхід автентифікації (CVE-2026-55040, CVSS 9.1), у серпні — компонент віддаленого виконання коду (CVE-2026-63520). Захищеною система буде лише з обома оновленнями.

Чому щомісячні пакети стали такими великими

Зростання кількості виправлень Microsoft пояснює впровадженням систем пошуку вразливостей на основі ШІ, які сканують кодову базу Windows. У липневому дописі виконавчий віцепрезидент компанії Паван Давулурі (Pavan Davuluri) попередив, що обсяг оновлень безпеки в кожному випуску зростатиме, оскільки ШІ дає змогу знаходити більше проблем швидше й у більшому обсязі коду.

Практичний наслідок подвійний: пакети оновлень збільшуються, а вікно між розкриттям вразливості та появою робочого експлойта скорочується. Старший інженер-дослідник Tenable Сатнам Наранг (Satnam Narang) зазначав, що індекс експлуатованості Microsoft орієнтований на людські можливості й може недооцінювати ризик там, де експлойти створюють за допомогою ШІ.

Що робити

• Найвищий пріоритет — оновлення, що закриває CVE-2026-68820, на всіх системах Windows.
• Далі — сервери з доступними ззовні службами DNS, Windows Deployment Services, QUIC і HPC Pack.
• Локальні інсталяції SharePoint потребують і липневого, і серпневого оновлень.
• Домашнім користувачам достатньо перевірити «Параметри» → «Центр оновлення Windows» і встановити наявні оновлення.
• З огляду на обсяг пакета, у корпоративних середовищах оновлення варто проводити через звичайний процес тестування змін — але без надмірних затримок для систем, доступних із зовнішньої мережі. Резервна копія перед встановленням залишається розумною пересторогою.

Повний перелік вразливостей із описами й переліком уражених систем доступний в оновленому довіднику безпеки Microsoft.

Ця стаття Серпневий Patch Tuesday: Microsoft закрила 421 вразливість, зокрема 0-day для атак Lazarus раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Google та Mozilla випустили чергові оновлення безпеки для своїх браузерів. Chrome та Firefox отримали виправлення для понад 70 уразливостей, серед яких — критичні помилки пам’яті, що потенційно дозволяли зловмисникам виконувати довільний код на комп’ютері жертви.

Chrome закрив 33 уразливості, 7 з яких — критичні

Браузер Chrome оновлено до версій 149.0.7827.155/.156 для Windows та macOS і 149.0.7827.155 для Linux. Оновлення усуває 33 проблеми безпеки, 32 з яких були виявлені самою Google.

Із семи критичних уразливостей шість належать до типу use-after-free — помилок управління пам’яттю, які зловмисники можуть використати для віддаленого виконання коду (RCE). У браузерному контексті такі недоліки здатні призвести до sandbox escape — виходу шкідливого коду за межі захищеного середовища браузера — якщо їх поєднати з уразливостями в операційній системі або привілейованих процесах браузера.

Крім критичних, оновлення виправляє 26 уразливостей високого ступеня небезпеки. Серед них — вісім use-after-free помилок, а також проблеми з недостатньою перевіркою даних, некоректною реалізацією функцій, читанням за межами виділеної пам’яті (out-of-bounds read), некоректним відображенням інтерфейсу безпеки, переповненням буфера та використанням неініціалізованих змінних.

Google не повідомляє про жодні активні спроби використання цих уразливостей в реальних атаках.

Firefox 152 закрив 40 уразливостей

Mozilla випустила Firefox 152 у стабільному каналі з виправленнями для 40 уразливостей. 13 із них мають високий ступінь небезпеки — це помилки типу use-after-free, підвищення привілеїв, некоректна перевірка меж, sandbox escape, помилки JIT-компіляції та проблеми безпеки пам’яті.

Mozilla попереджає, що деякі з виправлених помилок пам’яті потенційно могли бути використані для виконання довільного коду. Того самого дня компанія також випустила оновлення безпеки для Firefox ESR, поштового клієнта Thunderbird та Firefox для iOS. Детальна інформація доступна на сторінці офіційних повідомлень Mozilla.

Рекомендації

• Власникам пристроїв з Chrome варто перевірити версію браузера та встановити оновлення до 149.0.7827.155 або 149.0.7827.156.
• Користувачам Firefox рекомендується оновитися до версії 152, а також встановити доступні оновлення для Firefox ESR та Thunderbird.
• Оновлення зазвичай встановлюються автоматично, однак для перевірки можна зайти до розділу «Про браузер» у налаштуваннях.

Ця стаття Chrome та Firefox отримали оновлення з виправленням понад 70 уразливостей раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Microsoft розпочала примусове оновлення всіх придатних комп’ютерів з Windows 11 до версії 25H2. Причина — завершення підтримки попередньої версії 24H2 у жовтні 2026 року, після чого вона перестане отримувати патчі безпеки.

Кого стосується оновлення

Примусове оновлення поширюється лише на персональні комп’ютери з редакціями Windows 11 Home та Pro. Корпоративні пристрої, якими керують IT-відділи організацій, до цього переліку не входять — такі установи зазвичай самостійно керують розгортанням оновлень.

Щоб перевірити, чи підпадає конкретний ПК під оновлення, достатньо перейти до Параметри → Windows Update і перевірити наявність оновлень. Якщо система відповідає вимогам, завантаження та встановлення 25H2 розпочнеться автоматично — без жодних дій з боку користувача.

Як Microsoft визначає придатні пристрої

Для відбору комп’ютерів компанія використовує машинне навчання. Алгоритм аналізує результати тестування, відгуки партнерів, діагностичні дані та реальний досвід використання. На основі цих даних оновлення спрямовується насамперед на ті пристрої, які з найменшою ймовірністю зіткнуться з проблемами сумісності. ПК, для яких існує ризик ускладнень, потрапляють до черги очікування — доки відповідні проблеми не будуть вирішені.

Чому оновлення є обов’язковим

Головна причина — безпека. Підтримка Windows 11 24H2 завершується 13 жовтня 2026 року. Після цієї дати версія більше не отримуватиме оновлень безпеки. Microsoft прагне заздалегідь перевести всі пристрої на актуальну підтримувану версію, щоб вони продовжували отримувати захист.

Чи можна відкласти оновлення

Оновлення можна тимчасово відкласти, але не скасувати повністю. Для цього потрібно перейти до Параметри → Windows Update, натиснути стрілку поряд із меню Призупинити оновлення та обрати період: один, два або три тижні. Втім, це лише відтермінування — зрештою оновлення все одно буде встановлено.

Чи варто побоюватися 25H2

Версія Windows 11 25H2 вважається стабільнішою за попередню. Це пояснюється кількома чинниками: по-перше, 25H2 і 24H2 побудовані на одній кодовій базі, тому початкова версія виявилася надійнішою від попередниці, яка кілька місяців страждала від численних помилок. По-друге, оновлення стало компактнішим і встановлюється швидше — Microsoft замінює лише ті файли, які потребують оновлення, а не всі системні файли одночасно.

Для порівняння: Windows 11 24H2 після виходу мала значну кількість помилок, на виправлення яких пішли місяці. З 25H2 ситуація виглядає значно краще.

Як перевірити поточну версію Windows 11

Дізнатися, яка версія Windows 11 встановлена на комп’ютері, можна так: Параметри → Система → Про систему. У розділі Характеристики Windows рядок «Версія» вкаже, яке річне оновлення встановлено.

Ця стаття Microsoft примусово оновлює Windows 11 до версії 25H2 — що потрібно знати раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин