Уязвимости в Xcode позволяют приложению читать произвольные файлы и получать доступ к чувствительным данным пользователя. Apple закрыла их в версии 27.2 среды разработки под macOS. Затронуты предыдущие сборки Xcode, а также macOS Tahoe: компания перечислила их в уведомлении о безопасности.
Доступ к файлам и данным через компоненты Xcode
Исправление вышло 29 октября 2026 года. Раньше Apple не раскрывала сведения об этих ошибках, потому что публикует детали вместе с патчем. Записи в CVE (едином реестре уязвимостей) появились 30 октября, идентификаторы назначила сама Apple. Ошибки нашли сторонние исследователи: Владислав Шевченко из Positive Technologies и Roelof van Dijk. Сведений об эксплуатации в реальных атаках нет.
Условия атаки вендор описывает коротко. Нужен запуск приложения на уязвимой системе, то есть атака идёт локально, а не по сети. Требуется ли участие пользователя и какие права нужны приложению, Apple не уточняет. Числовой оценки CVSS (общей системы оценки уязвимостей) нет ни в документе, ни в записях CVE: поле оценки пустое. Уровень серьёзности вендор тоже не называет.
Одна из ошибок, CVE-2026-112605, затрагивает компонент CoreDevice. Приложение может прочитать произвольный файл, то есть выйти за пределы каталога, отведённого ему системой. Причина в обработке символических ссылок - файлов, которые указывают на другой объект. Такая ссылка подменяет ожидаемый путь другим файлом, поэтому приложение открывает не тот объект, который проверяла система. Apple исправила проблему, изменив работу со ссылками.
Другая ошибка, CVE-2026-112602, относится к компоненту Instruments. Это ошибка авторизации: приложение получает доступ к чувствительным данным пользователя. Иными словами, проверка прав выполнена неверно, и приложение получает больше, чем ему разрешено. Вендор устранил проблему, улучшив управление состоянием, - учёт того, в каком состоянии объект находится в момент проверки. Какие именно данные попадают под эту ошибку, в документе не сказано.
CoreDevice и Instruments - отдельные компоненты среды разработки. Компонент здесь означает часть Xcode с собственной зоной ответственности, поэтому ошибки описаны и исправлены по отдельности. Apple формулирует угрозу как действие приложения и не уточняет, идёт речь о самой среде разработки или о любой программе на машине. Поле исправленной версии в записях CVE пустое, номер 27.2 назван только в документе Apple.
Сводное уведомление допускает и удалённое выполнение кода, и раскрытие информации как возможные исходы эксплуатации. В записях CVE по Xcode описан второй: произвольное чтение файлов и доступ к пользовательским данным. Удалённое выполнение кода означает запуск чужого кода на машине; записей с таким исходом по этим компонентам нет.
Отдельный вопрос - macOS Tahoe. Вендор относит к затронутым системам версии до 26.6, но записи CVE описывают только компоненты Xcode. Состав исправления для самой системы в этих записях не раскрыт.
Исправление - Xcode 27.2, он вышел 29 октября 2026 года. Заявленная платформа - macOS Tahoe 26.6 и новее. Обновиться можно через механизм автообновления: система сама предлагает и устанавливает новые версии. Обходных мер вендор не приводит, записи CVE их тоже не содержат. Без числовой оценки очередь обновления задаёт внутренняя политика организации.
Xcode ставят на рабочие машины разработчиков: в нём собирают и подписывают приложения. Атака требует локального запуска программы, поэтому защита сводится к обновлению самой машины. Для администраторов macOS-парка задача сокращается до проверки версии Xcode и установки 27.2.
Ссылки
