Apple tung bản vá khẩn cấp cho hơn 30 lỗ hổng iOS và macOS, bao gồm các lỗi WebKit phát hiện bởi AI

Apple vừa chính thức phát hành các bản cập nhật bảo mật cho hệ sinh thái của mình, bao gồm iOS, iPadOS, macOS và trình duyệt Safari. Đợt cập nhật này nhằm giải quyết hơn 30 lỗ hổng bảo mật khác nhau, trong đó đáng chú ý nhất là bốn lỗ hổng trong engine WebKit được phát hiện thông qua sự hỗ trợ của các công cụ trí tuệ nhân tạo (AI) như Anthropic Claude và OpenAI Codex Security.

Các lỗ hổng WebKit trọng yếu

Bốn lỗ hổng WebKit được công bố bao gồm các vấn đề về hỏng bộ nhớ (memory corruption), lỗi truy cập ngoài phạm vi (out-of-bounds write) và lỗi sử dụng sau giải phóng (use-after-free). Các lỗi này có thể bị khai thác thông qua việc xử lý nội dung web độc hại, dẫn đến tình trạng treo trình duyệt hoặc làm hỏng bộ nhớ hệ thống.

• CVE-2026-43707: Lỗi hỏng bộ nhớ gây treo tiến trình.
• CVE-2026-43716: Lỗi không xác định gây treo Safari.
• CVE-2026-43745: Lỗi ghi ngoài phạm vi bộ nhớ.
• CVE-2026-43715: Lỗi use-after-free gây hỏng bộ nhớ.

Ngoài ra, Apple cũng đã vá gần 30 lỗ hổng khác trong WebKit, bao gồm các lỗi cho phép trang web độc hại vượt qua cơ chế sandbox để truy cập nội dung bị hạn chế.

Bảo mật Kernel và phản ứng trước kỷ nguyên AI

Bên cạnh WebKit, bản cập nhật lần này cũng khắc phục ba lỗ hổng nghiêm trọng liên quan đến kernel, có thể bị khai thác bởi các ứng dụng độc hại để rò rỉ thông tin trạng thái kernel, gây treo hệ thống hoặc ghi đè bộ nhớ kernel. Các lỗ hổng này được ghi nhận công lao phát hiện bởi nhà nghiên cứu Hyunwoo Kim.

Đáng chú ý, Apple cho biết họ đang đẩy nhanh tiến độ phát hành các bản vá bảo mật so với trước đây. Động thái này nhằm đối phó với thực tế rằng các công cụ AI đang giúp tin tặc rút ngắn đáng kể thời gian từ khâu phát hiện lỗ hổng đến khi tạo ra các mã khai thác (exploit) thực tế. Việc giảm thiểu thời gian giữa lúc công bố bản vá và lúc người dùng nhận được cập nhật là ưu tiên hàng đầu của hãng trong bối cảnh nguy cơ tấn công mạng ngày càng tinh vi.

Hiện tại, các bản cập nhật đã có sẵn cho iOS 26.5.2, iPadOS 26.5.2, macOS Tahoe 26.5.2 và Safari 26.5.2. Apple xác nhận rằng chưa có lỗ hổng nào trong số này bị ghi nhận đã bị khai thác trong thực tế (in-the-wild).

Nguồn tham khảo: The Hacker News