Gamle iPhone-modeller fikk 122 sikkerhetsfeil rettet i én oppdatering

Apple slapp 17. august 2026 fire sikkerhetsoppdateringer: iOS og iPadOS 26.6.1, iOS og iPadOS 18.7.10, macOS Tahoe 26.6.2 og visionOS 26.6.1. Oppdateringen for den eldre linjen skiller seg ut. Der de nye systemene får rundt 30 rettinger hver, retter 18.7.10 hele 122 sårbarheter, og den gjelder bare fire maskinvaremodeller. Apple oppgir ikke selv noe totalantall, og tallene her er talt opp fra CVE-numrene på Apples egne sider. Ingen av sidene oppgir at noen av sårbarhetene er utnyttet i angrep.

Hva som skjer teknisk

De to nye systemene deler nesten alt. Detaljsiden for iOS og iPadOS 26.6.1 fører opp 29 unike CVE-numre fordelt på 21 oppføringer og åtte komponenter, med WebKit som den tyngste med elleve oppføringer. macOS Tahoe 26.6.2 fører opp 28, og det er de samme sårbarhetene med ett unntak. Unntaket er en feil i Telephony, CVE-2026-65329, der en angriper i en privilegert posisjon i nettverket kan omgå autentisering i IPSec og avlytte trafikk. Apple beskriver den som et autentiseringsproblem løst med bedre tilstandshåndtering, og oppføringen gjelder bare iPhone. Den tyngste enkeltfeilen etter Apples egen konsekvensbeskrivelse er CVE-2026-65346 i ImageIO, en heltallsoverflyt der behandling av et bilde kan gi kjøring av vilkårlig kode. Det er den klassiske flaten der offeret ikke trenger å gjøre noe annet enn å motta noe.

Oppdateringen for den eldre linjen er en helt annen historie. iOS og iPadOS 18.7.10 gjelder iPhone XS, iPhone XS Max, iPhone XR og iPad av sjuende generasjon, altså fire modeller, og retter 122 unike CVE-numre fordelt på 97 oppføringer og 44 komponenter. WebKit står for 21 av oppføringene og kjernen for 15. Blant de tyngste er CVE-2026-64747 i AVEVideoEncoder, der en app kan kjøre vilkårlig kode med kjerneprivilegier, og CVE-2026-43723 i MediaRemote, der en app kan skaffe seg rotrettigheter. Bare 19 av de 122 går igjen i oppdateringen for de nye systemene. Forklaringen ligger i at de nye rettingene fortløpende har gått inn i 26-linjen, mens den eldre linjen får dem samlet. Apple opplyser selv at rettingene først kom i betaversjoner av kommende systemer. For visionOS 26.6.1 er det foreløpig ingenting å lese: oppdateringen står i oversikten med dato, men uten detaljside, og Apple skriver at detaljene kommer.

Hva det betyr for deg som har gammel maskinvare i drift

Tallet 122 er ikke et mål på hvor dårlig de gamle telefonene er. Det er et mål på hvor mye som samler seg opp når en enhet faller utenfor hovedlinjen. Har du iPhone XS, XS Max, XR eller iPad av sjuende generasjon i drift, er dette den største enkeltoppdateringen av de fire, og den er ikke valgfri. Vår vurdering er at slike enheter sjelden står i risikoregisteret, nettopp fordi de fungerer. En telefon som ringer og leser e-post ser ikke ut som et problem før noen spør hvilken systemversjon den kjører.

Det er også verdt å se på hva som ikke lenger er mulig. De fire modellene får ikke 26-linjen, og de kan derfor ikke få funksjoner og herdinger som bare finnes der. Da er ikke spørsmålet lenger om de er oppdatert, men hvor lenge dere skal la dem være i bruk og til hva. Har du ansvar for mobiltelefoner som brukes til pålogging med flerfaktor, bør akkurat de enhetene ha en dato for utfasing, og ikke bare en oppdateringsrutine. Er virksomheten din omfattet av NIS2, er en oversikt over hvilke modeller og systemversjoner som faktisk er i bruk, en forutsetning for å kunne si noe som helst om sårbarhetshåndtering på mobil.

Berigo anbefaler

• Installer 18.7.10 på iPhone XS, XS Max, XR og iPad av sjuende generasjon nå. Dette er den største av de fire oppdateringene, og den gjelder de eldste enhetene.
• Ikke les fraværet av kjent utnyttelse som fravær av hastverk. Rettingene er offentlige, og det er beskrivelsene av feilene også.
• Skaff en liste over hvilke iPhone- og iPad-modeller som faktisk er i bruk, og hvilken systemlinje hver av dem står på.
• Sett en utfasingsdato for modeller som ikke lenger får den nyeste systemlinjen, særlig de som brukes til pålogging med flerfaktor.
• Vent med å konkludere om visionOS 26.6.1 til Apple publiserer detaljene, og hold oppdateringen i påvente av det.