Apple выпустила HomeView Software 27.2 с исправлениями девяти уязвимостей. Часть из них касается Bluetooth и AirPlay: обход ограничения на число попыток подбора кода сопряжения, сопряжение без участия пользователя и порча памяти. Ещё две ошибки связаны с iMessage-группами, а одна - с декодером brotli, у неё оценка CVSS 3.1 - 9.2. Обновление вышло 12 ноября 2026 года, затронуты версии HomeView Software до 27.2. Ставить его стоит сразу: часть ошибок не требует действий пользователя.
Что исправлено
HomeView - программная платформа Apple для управления устройствами умного дома. Через неё настраивают сценарии, подключают аксессуары и связывают устройства между собой. Для такой системы доверие при сопряжении - основа безопасности: если устройство можно подключить без подтверждения, под ним можно получить доступ к дому и данным владельца.
Самая тяжёлая по оценке ошибка - CVE-2026-111497 в декодере Google brotli. Это запись за границы буфера (CWE-787) и неправильная обработка длины (CWE-252) при разборе специально сформированных данных. Оценка CVSS 3.1 - 9.2, критический уровень. brotli используется для сжатия веб-контента, поэтому ошибка в декодере - это классический путь к порче памяти через подготовленный файл или поток данных.
Группа ошибок Bluetooth и AirPlay выглядит как набор ошибок в логике сопряжения. CVE-2026-113968 позволяет атакующему в зоне Bluetooth обойти ограничение на число попыток ввода кода сопряжения. CVE-2026-113969 делает то же самое через AirPlay и rapportd - то есть атакующему достаточно находиться в той же сети. CVE-2026-113964 описывает ситуацию, когда вредоносное Bluetooth-устройство сопрягается без участия пользователя, обходя лимит попыток. CVE-2026-113965 - вариант, когда вредоносное устройство устанавливает сопряжение без взаимодействия, из-за недостаточной проверки. Отдельно CVE-2026-113970 - use-after-free в Bluetooth, из-за которого сосед в зоне действия может повредить память процесса.
Ошибки в Messages дают другой эффект. CVE-2026-113961 позволяет удалённому атакующему присоединиться к групповому чату iMessage и получать сообщения, а CVE-2026-113960 - пользователю, добавленному в группу, прочитать сообщения, отправленные до его входа. CVE-2026-113963 в App Intents описывает авторизационную ошибку, из-за которой приложение может получить доступ к чувствительным данным пользователя.
Чем это грозит
Порча памяти в декодере brotli - потенциальный путь к выполнению кода при обработке специально собранного контента. Для HomeView это означает риск не только для самого хаба, но и для связанных с ним устройств и сценариев: через хаб проходит управление домом, а при неудачной архитектуре - и данные камер, замков и датчиков.
Ошибки сопряжения опаснее, чем кажутся. Сопряжение - это выдача доверия устройству, поэтому обход лимита попыток и подключение без подтверждения позволяют чужому устройству войти в дом, пусть и в пределах соседнего радиуса или сети. Для пользователя граница между «сосед по Bluetooth» и «контроль над домом» может оказаться тоньше, чем предполагается.
Утечки в Messages и App Intents касаются конфиденциальности: чужие сообщения и доступ приложений к данным домашних устройств - это информация, которая в руках атакующего упрощает следующую атаку, например фишинг под видом членов семьи или отключение уведомлений о событиях. Для дома это не абстрактный риск: через хаб проходят сценарии освещения, отопления и безопасности, а кратковременный доступ позволяет менять их и оставлять незаметные изменения, которые проявятся позже.
Условия эксплуатации
Условия различаются по группам. Для Bluetooth-ошибок атакующему нужно находиться в зоне действия радиосвязи; для AirPlay и rapportd - в той же сети. Для CVE-2026-113970 достаточно быть поблизости и отправить специально сформированный пакет. Для brotli нужен путь обработки сжатых данных: подготовленный файл или поток, который декодируется уязвимой версией.
Для ошибок Messages сценарий удалённый: атакующий взаимодействует с групповым чатом, а не с физическим устройством рядом. Для App Intents нужен запущенный сценарий или приложение, которое пользуется разрешениями. Участие пользователя для большинства сценариев не требуется, и это повышает практическую ценность ошибок.
Затронутые версии
Затронуты версии HomeView Software до 27.2. Исправление - 27.2, выпущенное 12 ноября 2026 года. Вендор не приводит CVSS для всех девяти CVE: из открытых данных оценка есть только у CVE-2026-111497 (9.2), остальные описаны качественно, без балла.
Обновляться нужно на самом HomeView-устройстве, а не только на подключаемых аксессуарах. Если в доме несколько хабов и сценариев, проверьте, что все они получили 27.2 - Apple обычно распространяет обновления постепенно, поэтому версия может появиться с задержкой.
Что делать
Установить HomeView Software 27.2 и проверить версию после обновления. Если хаб используется для важных сценариев - замки, сигнализация, камеры - лучше сделать это сразу, а не откладывать до планового периода.
Пока обновление не установлено, сократите поверхность атаки: уберите лишние сопряжённые устройства, отключите Bluetooth, если он не нужен, и проверьте, кто имеет доступ к системе умного дома. Для iMessage ограничьте круг лиц, которые могут добавлять вас в группы, и проверьте недавние изменения в групповых чатах. Для App Intents посмотрите, какие приложения имеют доступ к данным умного дома, и отзовите лишние разрешения.
После обновления проверьте журналы сопряжений и список устройств: не появилось ли новых аксессуаров, которых вы не добавляли. Если есть подозрение на компрометацию, смените пароли и переподключите доверенные устройства, а хаб лучше перезагрузить и проверить его сценарии. Если к системе подключены камеры и замки, просмотрите журналы событий за последние дни.
Ссылки
- https://support.apple.com/en-us/149851
- https://www.cve.org/CVERecord?id=CVE-2026-111497
- https://www.cve.org/CVERecord?id=CVE-2026-113970
- https://www.cve.org/CVERecord?id=CVE-2026-113968
