Sebastian Juul
Apple släppte iOS 27.2.1 på måndagen och stänger nio säkerhetshål som drabbar så gott som alla iPhone-ägare.
Det tyngsta hålet lät en utomstående smyga in i en iMessage-gruppchatt och läsa med i realtid. Ett annat lät någon som precis bjudits in gräva fram meddelanden som skickades innan de kom med. Båda är nu täppta.
Uppdateringen kom måndagen den 9 november och gäller iPhone 11 och senare samt iPhone SE i andra och tredje generationen. Äldre modeller, iPhone XS, XS Max och XR, får i stället iOS 18.7.12, enligt Apples egen säkerhetsnotering för släppet. Samma hål lagas för iPad Pro, iPad Air, iPad 9:e generationen och iPad mini 6:e generationen via iPadOS 27.2.1.
iMessage-hålet lät en okänd läsa med
De två iMessage-sårbarheterna är de som väcker mest uppmärksamhet. Den första, märkt CVE-2026-113961, beskrivs av Apple som att ”a remote attacker may be able to join an iMessage group chat and receive its messages”. En utomstående kunde alltså krypa in i gruppen och läsa med utan inbjudan. Den andra, CVE-2026-113960, handlar om att en person som faktiskt bjudits in kunde se historiken bakåt, meddelanden som skickades innan hen kom med i gruppen.
Apple har åtgärdat det första felet med skärpt behörighetsvalidering och det andra genom att ta bort den sårbara koden helt. 9to5Mac sammanfattar läget kort: ”a remote attacker could have potentially been able to join an iMessage group chat uninvited.”
Bluetooth-luckan är lika allvarlig
Vid sidan av iMessage finns en kedja av Bluetooth-brister som är värda att lägga märke till. Ett CoreUtils-fel lät enligt Apples beskrivning ”a malicious Bluetooth device” upprätta en parkoppling ”without user interaction”, alltså utan att du först godkänner den på telefonen. Ett annat lät en angripare inom Bluetooth-räckvidd ”corrupt process memory”, ett klassiskt minnesfel som i värsta fall kan användas för att ta över processen.
Till det kommer två AirPlay-relaterade brister som båda går ut på att kringgå den spärr som normalt begränsar hur många gånger man får gissa en parkopplingskod. Den ena kräver att angriparen är inom Bluetooth-räckvidd, den andra att angriparen sitter på samma nätverk, det vill säga samma Wi-Fi som din iPhone. MacRumors noterar att Apple själv hittade fyra av bristerna internt.
Appdata och ett minnesfel i Brotli
Två mindre uppmärksammade hål är också lagade. Det ena, CVE-2026-113963, satt i App Intents och kunde låta ”an app may be able to access sensitive user data”. Det andra, CVE-2026-111497, är ett fel i komprimeringsbiblioteket Brotli där ett specialbyggt indata kunde utlösa minnesfel. Båda stängs i uppdateringen.
Apple uppger inte att något av hålen har utnyttjats i riktiga attacker, enligt eSecurityPlanet. Men nu när beskrivningarna är publika ökar risken att någon försöker bygga ett angrepp mot telefoner som inte har installerat uppdateringen.
Så installerar du den, det tar ett par minuter
Gå in på Inställningar, välj Allmänt och tryck sedan på Programuppdatering. Där visas iOS 27.2.1 om din iPhone är en av de modeller som stöds. Ladda ned och installera. Räkna med en omstart.
27.2.1 är en korrigeringsuppdatering ovanpå det större iOS 27.2 som rullades ut i slutet av oktober. Vill du veta exakt vilka CVE-nummer som lagats och se Apples egen beskrivning finns stöddokument 149715 öppet på apple.com.
