Apple har lukket en alvorlig sikkerhedsbrist i iMessage-gruppesamtaler med iOS 27.2.1 og iPadOS 27.2.1. Ifølge Apples egen sikkerhedsbeskrivelse kunne en fjernangriber under visse forhold slutte sig til en gruppesamtale og modtage beskeder. Opdateringerne retter også fejl i Bluetooth og AirPlay.
Rettelserne blev udsendt den 9. november 2026. De fremgår af Apples officielle sikkerhedsnotat, som giver en usædvanligt konkret beskrivelse af, hvad en af fejlene kunne betyde for private samtaler. Apple beskriver en mulighed for adgang, ikke et dokumenteret masseangreb, og der er ikke i notatet oplysninger om, at fejlen allerede er blevet udnyttet.
To forskellige fejl i iMessage
Den mest opsigtsvækkende fejl har identifikationen CVE-2026-113961. Apple skriver, at en fjernangriber potentielt kunne blive medlem af en iMessage-gruppe og modtage dens beskeder. Fejlen handlede om kontrol af adgangsrettigheder, og Apple oplyser, at den er rettet ved bedre validering.
En anden fejl, CVE-2026-113960, angik samtalens historik: En person, der legitimt blev føjet til en gruppe, kunne potentielt se beskeder fra før vedkommendes indtræden. Det er en anden situation end at en uvedkommende overhovedet får adgang til gruppen. Ifølge Apple blev den sårbare kode fjernet for at rette historikproblemet.
MacRumors gennemgår begge fejl og påpeger, at opdateringen også lukker flere Bluetooth- og AirPlay-relaterede huller. Beskrivelserne bør ikke forveksles med påstande om, at alle gruppesamtaler har været kompromitteret. Vi har ingen dokumentation for, at bestemte danske brugere eller grupper er ramt.
Bluetooth, AirPlay og følsomme data
Apple oplister desuden en fejl i CoreUtils, hvor en ondsindet Bluetooth-enhed kunne oprette en parring uden brugerens medvirken, og en anden fejl, hvor en angriber i Bluetooth-rækkevidde kunne omgå begrænsningen på gentagne forsøg med parringkoder. En Bluetooth-fejl kunne ifølge sikkerhedsnotatet også føre til beskadigelse af enhedens hukommelse.
AirPlay er berørt af en fejl, hvor en angriber på samme netværk kunne omgå begrænsningen på forsøg med en AirPlay-parringskode. Derudover retter Apple en tilladelsesfejl i App Intents, som kunne give en app adgang til følsomme brugerdata, samt en hukommelsesfejl i komprimeringsbiblioteket brotli. Det er separate rettelser med forskellige angrebsforudsætninger, ikke én samlet angrebsmetode.
Hvem bør opdatere?
Apple angiver iOS 27.2.1 og iPadOS 27.2.1 som tilgængelige for iPhone 11 og nyere samt bestemte nyere iPad-modeller, blandt andet iPad 9. generation og nyere, iPad mini 6. generation og nyere og understøttede iPad Air- og Pro-modeller. Enhedslisten fremgår af sikkerhedsnotatet. Apple har også udsendt relevante rettelser til andre understøttede systemversioner, herunder macOS, watchOS og visionOS, så den præcise opdatering afhænger af enheden.
På iPhone og iPad finder du opdateringen under Indstillinger → Generelt → Softwareopdatering. Kontrollér både din enhedsmodel og den tilbudte version, før du installerer. Det er især relevant for familier, hvor både nyere og ældre iPhones er i brug, og for virksomheder, der administrerer mange Apple-enheder.
Vi har tidligere omtalt ændringerne i iOS 27.2. Version 27.2.1 er derimod først og fremmest en sikkerhedsopdatering. Den relevante pointe er derfor ikke nye funktioner, men at sætte lukning af kendte sårbarheder over ønsket om at vente på næste store opdatering.
Hero-billede: Arkivfoto fra Apples iOS 26-præsentation, som viser en almindelig iMessage-gruppesamtale. Billedet illustrerer beskedfunktionen og viser ikke sikkerhedsfejlen. Foto: Apple, juni 2025.
