Apple выпустила обновление iOS 27.2.1 с исправлением девяти уязвимостей безопасности, но критическая уязвимость worse_query, позволяющая вредоносным приложениям обходить песочницу iOS и получать доступ к конфиденциальным данным криптокошельков, осталась неисправленной. Исследователь безопасности forcequitOS подтвердил, что эксплойт активен как в iOS 27.2.1, так и в первой бета-версии iOS 27.3, что противоречит предположениям о решении проблемы в последнем обновлении. Binance уже предупредил пользователей о необходимости удаления недоверенных приложений и перевода средств на новые кошельки при подозрении на компрометацию.
Ключевые факты: Уязвимость worse_query не исправлена в iOS 27.2.1 и 27.3 beta 1; эксплойт обходит песочницу iOS; затронуты версии iOS 26.0-26.7.2 и 27.2; возможен доступ к приватным ключам и seed-фразам; Binance рекомендует удалить недоверенные приложения; Apple не упоминает worse_query в официальных примечаниях к безопасности.
Уязвимость worse_query представляет собой эксплойт, нацеленный на механизм песочницы приложений Apple, который обычно ограничивает доступ каждого приложения к собственным файлам и предотвращает несанкционированный доступ к информации, хранящейся в других приложениях. Согласно репозиторию GitHub, эксплойт затрагивает версии iOS с 26.0 по 26.7.2 и iOS 27.2. Разработчик описал его как преемника более ранней уязвимости под названием bad_query, что указывает на эволюцию техники обхода защитных механизмов Apple.
Опубликованный proof of concept демонстрирует, как приложение может обойти эти ограничения и получить доступ к контейнерам данных, принадлежащим несвязанным приложениям, включая общие группы приложений и определенные системные каталоги. Хотя исследователь охарактеризовал исходный код как инструмент разработчика, который не может использоваться независимо без дополнительной настройки, другие разработчики уже создали приложения, способные использовать эту технику. Одним из примеров является WQ Files, разработанный Кристофом Колбичем, который позволяет пользователям просматривать, экспортировать, изменять и удалять файлы, принадлежащие другим приложениям, без джейлбрейка iPhone.
| Параметр | Значение |
|---|---|
| Затронутые версии iOS | 26.0 - 26.7.2 и 27.2 |
| Тип уязвимости | Обход песочницы приложений |
| Цель атаки | Контейнеры данных других приложений |
| Требования | Приложение с App Group container |
| Потенциальный ущерб | Доступ к приватным ключам и seed-фразам |
| Статус исправления | Не исправлено в iOS 27.2.1 и 27.3 beta 1 |
Важно понимать, что опубликованный эксплойт требует приложения, настроенного с контейнером App Group, что означает, что техника не компрометирует iPhone независимо через обычное просмотр веб-сайтов. Однако это не уменьшает опасность для пользователей, которые устанавливают приложения из недоверенных источников, включая sideloaded или вручную подписанные IPA-файлы. Именно такие приложения могут быть специально созданы для использования уязвимости worse_query с целью кражи конфиденциальной информации.
Криптовалютная биржа Binance выпустила предупреждение 10 ноября, идентифицировав iOS 26.7.1, 27.0.1 и 27.2 среди затронутых версий программного обеспечения. Биржа предупредила, что вредоносные приложения могут получить доступ к локально хранящейся информации, принадлежащей другим приложениям, потенциально раскрывая seed-фразы кошельков, приватные ключи и учетные данные для входа. Представитель Binance заявил, что биржа не выявила подтвержденных случаев кражи криптовалюты, связанных с worse_query, но рекомендует пользователям принять превентивные меры.
Binance советует пользователям удалить приложения, установленные из недоверенных источников, включая sideloaded или вручную подписанные IPA-файлы, и обновить свои устройства и приложения до последних официальных версий. Для пользователей, которые подозревают, что их учетные данные уже были скомпрометированы, Binance рекомендует перевести активы на новый кошелек, созданный на чистом устройстве, и сбросить активные сессии входа. Эти рекомендации выходят за рамки простой установки последнего обновления программного обеспечения Apple, поскольку биржа призывает пользователей избегать несанкционированных пакетов приложений, пока уязвимость остается проблемой.
Рекомендации Binance: Удалите приложения из недоверенных источников; обновите iOS и приложения до последних версий; при подозрении на компрометацию создайте новый кошелек на чистом устройстве; переведите активы на новый кошелек; сбросьте активные сессии входа; избегайте sideloaded IPA-файлов.
Предупреждение Binance особенно касается приложений, способных эксплуатировать уязвимость песочницы. Биржа подчеркивает, что даже если пользователь обновил iOS до версии 27.2.1, это не устраняет риск, связанный с worse_query, поскольку уязвимость остается неисправленной. Это создает ситуацию, когда пользователи могут ошибочно полагать, что они защищены после обновления, в то время как их криптокошельки остаются уязвимыми для атак через вредоносные приложения.
Apple выпустила iOS 27.2.1 9 ноября, на следующий день после того, как исследователь опубликовал исходный код эксплойта на GitHub. Официальные примечания к безопасности Apple перечисляют исправления для нескольких компонентов, но не упоминают worse_query среди исправлений, включенных в последнее обновление. Это отсутствие официального признания вызывает обеспокоенность среди пользователей криптовалют, поскольку создает неопределенность относительно того, когда можно ожидать исправления и осознает ли Apple серьезность проблемы.
В заявлении от 10 ноября на платформе X исследователь forcequitOS напрямую обратился к путанице, связанной со статусом уязвимости после последнего выпуска программного обеспечения Apple. Исследователь заявил, что worse_query "не исправлен в iOS 27.2.1 и 27.3 beta 1" и пообещал обновить документацию проекта, как только Apple выпустит работающее исправление. Это обещание предполагает, что исследователь продолжает мониторинг ситуации и готов подтвердить, когда проблема будет действительно решена.
| Действие Apple | Детали |
|---|---|
| Выпуск iOS 27.2.1 | 9 ноября 2026 года |
| Исправленные уязвимости | 9 уязвимостей безопасности |
| Упоминание worse_query | Отсутствует в официальных примечаниях |
| Статус в iOS 27.3 beta 1 | Уязвимость остается активной |
| Благодарность исследователям | Упомянут другой исследователь за другую уязвимость |
Интересно, что Apple упомянула другого исследователя за исправление другой уязвимости в том же обновлении, что указывает на то, что компания признает вклад исследователей безопасности, когда это уместно. Отсутствие упоминания worse_query может означать несколько вещей: Apple еще не разработала исправление, компания не считает уязвимость достаточно серьезной для публичного признания, или исправление планируется для будущего обновления. Независимо от причины, пользователи остаются без четкой информации о том, когда они могут ожидать решения проблемы.
В условиях, когда уязвимость остается неисправленной, пользователи криптокошельков на iOS должны принять дополнительные меры предосторожности для защиты своих активов. Первым и наиболее важным шагом является аудит всех установленных приложений и удаление любых, которые были установлены из недоверенных источников или выглядят подозрительными. Это включает приложения, загруженные через sideloading, корпоративные сертификаты или сторонние магазины приложений.
Второй критический шаг — проверка того, где хранятся приватные ключи и seed-фразы. Если эти данные хранятся локально на устройстве в файловой системе, они могут быть уязвимы для эксплойта worse_query. Пользователи должны рассмотреть возможность использования аппаратных кошельков для хранения значительных сумм криптовалюты, поскольку приватные ключи в аппаратных кошельках никогда не покидают устройство и не хранятся в файловой системе iPhone. Для повседневных транзакций можно использовать меньшие суммы в программных кошельках, но с пониманием существующих рисков.
Меры защиты: Аудит и удаление недоверенных приложений; использование аппаратных кошельков для крупных сумм; проверка источников установленных приложений; регулярное обновление iOS и приложений; мониторинг активности кошельков; создание нового кошелька при подозрении на компрометацию; использование дополнительных уровней защиты, таких как мультисигнатурные кошельки.
Третий важный аспект — мониторинг активности кошельков на предмет несанкционированных транзакций. Пользователи должны регулярно проверять историю транзакций и настраивать уведомления о любой активности. При обнаружении подозрительных транзакций необходимо немедленно перевести оставшиеся средства на новый кошелек, созданный на чистом устройстве, и сообщить об инциденте в соответствующие органы и криптовалютные биржи.
Для разработчиков криптокошельков этот инцидент подчеркивает важность реализации дополнительных уровней защиты, не зависящих исключительно от механизмов безопасности операционной системы. Это может включать шифрование локально хранимых данных с использованием ключей, производных от пользовательских паролей, реализацию безопасного элемента для хранения критической информации, или использование облачных решений с сильной аутентификацией вместо локального хранения чувствительных данных.
Ситуация с worse_query также поднимает более широкие вопросы о безопасности мобильной экосистемы в целом и о том, насколько пользователи могут полагаться на встроенные механизмы безопасности операционных систем для защиты конфиденциальных финансовых данных. Хотя песочница приложений остается важным элементом безопасности, этот инцидент демонстрирует, что она не является непроницаемой и что злоумышленники продолжают находить способы обхода этих защит. Это требует от пользователей и разработчиков более проактивного подхода к безопасности, не полагаясь исключительно на защиту, предоставляемую платформой.
До тех пор, пока Apple не выпустит исправление для worse_query, пользователи криптокошельков на iOS должны сохранять бдительность и принимать дополнительные меры для защиты своих активов. Сочетание технических мер предосторожности, таких как использование аппаратных кошельков и удаление недоверенных приложений, с поведенческими практиками, такими как регулярный мониторинг активности и быстрое реагирование на подозрительные события, создает многоуровневую защиту, которая может значительно снизить риск потери средств из-за этой уязвимости.
«Безопасность — это не продукт, который вы покупаете, а процесс, который вы поддерживаете. Каждая уязвимость, каждый эксплойт напоминает нам, что в цифровом мире нет постоянной безопасности, только временные передышки. Единственный способ защитить свои активы — это постоянная бдительность и многослойная защита».
— Брюс Шнайер, криптограф и эксперт по безопасности
