Oprava vydána CVSS 7,5 Aktuálně

Apple opravil iMessage: cizí člověk se mohl připojit do skupinového chatu a číst zprávy

Apple 9. listopadu 2026 vydal iOS 27.2.1, macOS Golden Gate 27.2.1 a aktualizace starších systémů. Opravují chybu, kvůli které se útočník na dálku mohl připojit do skupinového chatu iMessage a dostávat jeho zprávy, a několik chyb párování přes Bluetooth. Zneužití Apple nehlásí – aktualizace přesto stojí za to hned.

Redakce Kyberkitu · 10. listopadu 2026 · událost ze dne 9. listopadu 2026 · čtení na 4 minuty · Pro každého

iPhone a iOS

Oprava vydána: Apple iMessage, CVE-2026-113961, CVSS 7,5

Ve zkratce

Chyba CVE-2026-113961 v aplikaci Zprávy mohla útočníkovi na dálku dovolit připojit se do skupinového chatu iMessage a dostávat jeho zprávy. Druhá chyba (CVE-2026-113960) dovolila nově přidanému členovi skupiny číst zprávy z doby před jeho přidáním.
Další opravy se týkají párování přes Bluetooth a AirPlay: útočník v dosahu Bluetooth mohl obejít omezení pokusů o párovací kód a podle Applu spárovat zařízení bez zásahu uživatele.
Aktualizace opravují i chybu CVE-2026-111497 v kompresní knihovně Brotli, kterou CISA vede od 27. 10. 2026 mezi zneužívanými. Apple o zneužití na svých zařízeních nepíše.
Opraveno je v iOS a iPadOS 27.2.1 a 26.7.3, macOS 27.2.1, 26.7.3 a 15.8.3, watchOS 27.2.1 a visionOS 27.2.1 (vše 9. 11. 2026).

Zranitelnosti: CVE-2026-113961, CVE-2026-113960, CVE-2026-113964, CVE-2026-113965, CVE-2026-113970, CVE-2026-111497

Co se stalo

Apple 9. listopadu 2026 vydal opravné aktualizace pro iPhone, iPad, Mac, Apple Watch a Vision Pro. Nejzajímavější pro běžné lidi jsou dvě chyby v aplikaci Zprávy (iMessage):

CVE-2026-113961 – útočník na dálku se mohl připojit do skupinového chatu iMessage a dostávat jeho zprávy.
CVE-2026-113960 – člověk nově přidaný do skupiny mohl číst zprávy poslané ještě předtím, než ho někdo přidal.

Další opravy se týkají párování přes Bluetooth a AirPlay a kompresní knihovny Brotli. Apple u žádné z chyb neuvádí, že by byla zneužitá.

Technické podrobnosti

Apple zveřejňuje jen stručné popisy. Ověřené údaje:

CVE	Součást	Co mohl útočník	Typ chyby podle Applu / NVD
CVE-2026-113961	Zprávy	na dálku se připojit do skupinového chatu iMessage a dostávat zprávy	chyba autorizace, CWE-863; CVSS 3.1 7,5
CVE-2026-113960	Zprávy	jako nový člen skupiny číst starší zprávy	Apple zranitelný kód odstranil
CVE-2026-113964	CoreUtils	v dosahu Bluetooth obejít limit pokusů o párovací kód a spárovat zařízení bez zásahu uživatele	logická chyba, CWE-307; CVSS 3.1 5,4
CVE-2026-113965	CoreUtils	se škodlivým zařízením Bluetooth navázat párování bez zásahu uživatele	nedostatečná kontrola
CVE-2026-113968, -113969	AirPlay, rapportd	obejít limit pokusů o párovací kód AirPlay (přes Bluetooth nebo ze stejné sítě)	logická chyba
CVE-2026-113970	Bluetooth	v dosahu Bluetooth poškodit paměť procesu	use-after-free
CVE-2026-111497	Brotli	upraveným vstupem poškodit paměť	zápis mimo hranice, CWE-787

Hodnocení CVSS v tabulce pochází z doplňkového zdroje v NVD. Vlastní analýzu NVD k 10. 11. 2026 ještě neudělala (stav „Received“).

Chyby v iMessage jsou nebezpečné tím, že nepotřebují fyzický přístup ani dosah – podle Applu stačí útočník „na dálku“. Apple nepopisuje, jak se útočník do skupiny dostal; chybu nahlásil anonymní výzkumník. Útok přes Bluetooth naopak vyžaduje, aby byl útočník fyzicky poblíž, například v kavárně nebo ve vlaku.

Brotli je otevřená knihovna Googlu pro kompresi dat, kterou používají prohlížeče i další software. CISA ji zařadila do katalogu zneužívaných zranitelností (KEV) už 27. října 2026. Apple u ní neuvádí, že by byla zneužitá proti jeho zařízením.

Koho se to týká

Opravy chyb ve Zprávách obsahují tyto verze (všechny z 9. 11. 2026):

iOS a iPadOS 27.2.1 a 26.7.3 – iPhone 11 a novější, novější iPady,
macOS Golden Gate 27.2.1, Tahoe 26.7.3 a Sequoia 15.8.3,
watchOS 27.2.1 (Apple Watch Series 9 a novější),
visionOS 27.2.1 (Vision Pro).

Pro iPhone XS, XS Max, XR a iPad 7. generace vyšel iOS 18.7.12 a pro starší hodinky (Series 6 až 8, SE 2. generace, Ultra) watchOS 26.6.1. Obě aktualizace opravují chyby Bluetooth a AirPlay, opravy ve Zprávách v jejich seznamu nejsou. Apple neříká, zda se tyto chyby starších systémů týkaly.

Jak poznat napadení

Apple žádné indikátory napadení nezveřejnil a nehlásí zneužití. Co můžete zkontrolovat sami (naše doporučení):

Členy skupinových chatů – v chatu klepněte nahoře na název skupiny a projděte seznam lidí. Neznámé číslo nebo adresu ověřte u ostatních členů.
Spárovaná zařízení Bluetooth – v Nastavení → Bluetooth (na Macu Nastavení systému → Bluetooth) odeberte zařízení, která nepoznáváte.

Co udělat

iPhone a iPad: Nastavení → Obecné → Aktualizace softwaru → nainstalujte iOS 27.2.1 (nebo 26.7.3, na starších modelech 18.7.12).
Mac: Nastavení systému → Obecné → Aktualizace softwaru → macOS 27.2.1, 26.7.3 nebo 15.8.3.
Apple Watch: v aplikaci Watch na iPhonu → Obecné → Aktualizace softwaru.
Zapněte automatické aktualizace, ať další opravy přijdou samy.
Firmy se správou zařízení (MDM) – vynuťte minimální verze výše a zkontrolujte, která zařízení zůstala pozadu.

Časová osa

Podle Applu, NVD a CISA

Aktualizace

10. 11. 2026 – první verze článku.

Časté otázky

Mohl si někdo přečíst mé soukromé zprávy?

Chyba se podle Applu týkala skupinových chatů iMessage, ne konverzací ve dvou. Apple neuvádí, že by ji někdo zneužil. Po aktualizaci je opravená.

Mám starší iPhone XS nebo XR. Týká se mě to?

Pro ně vyšel iOS 18.7.12 s opravami Bluetooth a AirPlay. Opravy chyb ve Zprávách v jeho seznamu nejsou a Apple neříká, zda se ho chyby týkaly. Aktualizaci nainstalujte tak jako tak.

Jak poznám, že jsem v chatu někoho cizího?

Projděte seznam členů skupin: v chatu klepněte nahoře na název skupiny. Neznámé číslo nebo e-mail se zeptejte, kdo to je, a případně ho odeberte.

Musím po aktualizaci ještě něco dělat?

Doporučujeme v Nastavení → Bluetooth projít spárovaná zařízení a odebrat ta, která nepoznáváte. Apple to výslovně nepožaduje.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.