Apple đẩy cập nhật iOS 18.7.7 trên diện rộng để chặn chuỗi khai thác DarkSword

[WhiteHat Team]

Apple đang đẩy mạnh triển khai iOS 18.7.7 và iPadOS 18.7.7 theo hướng chủ động, mở rộng phạm vi cập nhật tự động tới hàng triệu thiết bị nhằm ứng phó với DarkSword - một chuỗi khai thác dựa trên web có khả năng xâm nhập thiết bị thông qua nội dung độc hại mà không yêu cầu tương tác phức tạp từ phía người dùng.
​

Bản cập nhật ban đầu được phát hành ngày 24/3/2026, nhưng đến 1/4/2026, Apple đã tăng tốc rollout theo cơ chế ép cập nhật (push-enforced) để giảm thiểu cửa sổ phơi nhiễm trước khi khai thác đạt quy mô lớn. Bản chất của DarkSword nằm ở việc lợi dụng bề mặt tấn công từ trình duyệt, biến mỗi phiên truy cập web thành một điểm vào tiềm năng nếu thiết bị chưa được vá.

Chuỗi tấn công này tận dụng các điểm yếu còn sót lại trong ngăn xếp xử lý nội dung web, cho phép thực thi mã trong bối cảnh trình duyệt và có thể mở rộng sang các thành phần hệ thống nếu kết hợp với lỗ hổng leo thang đặc quyền. Dù Apple đã triển khai một số cơ chế giảm thiểu từ năm 2025, iOS 18.7.7 được thiết kế như một lớp bảo vệ bắt buộc ở cấp độ toàn hệ thống, đóng các đường khai thác còn khả dụng.

DarkSword hoạt động hoàn toàn thông qua môi trường web, khiến phạm vi rủi ro mở rộng đáng kể. Người dùng không cần thực hiện thao tác bất thường nào, chỉ cần truy cập vào một trang web đã bị kiểm soát hoặc cài mã độc là có thể trở thành mục tiêu. Điều này đồng nghĩa với việc mọi phiên duyệt web trên thiết bị chưa được cập nhật đều có thể trở thành điểm xâm nhập.

Song song với việc vô hiệu hóa chuỗi DarkSword, Apple cũng vá hơn 15 lỗ hổng nghiêm trọng trải dài trên nhiều thành phần lõi. Đáng chú ý gồm:​

• CVE-2026-20687: Lỗi use-after-free trong nhân hệ điều hành có thể bị khai thác để gây treo máy hoặc ghi trái phép vào bộ nhớ hệ thống​
• CVE-2026-20643: Lỗi logic cross-origin trong WebKit cho phép vượt qua cơ chế bảo vệ giữa các trang web thông qua Navigation API​
• CVE-2026-28864: Lỗi kiểm soát quyền chưa đầy đủ có thể làm lộ dữ liệu nhạy cảm trong Keychain​
• CVE-2026-28866: Lỗi xác thực symlink trong cơ chế clipboard cho phép truy cập dữ liệu sao chép mà không được phép​
• CVE-2026-28865: Sai lệch trạng thái trong xử lý xác thực 802.1X có thể bị lợi dụng để can thiệp lưu lượng mạng​

Các lỗ hổng này khi kết hợp có thể hình thành một chuỗi khai thác hoàn chỉnh, từ truy cập ban đầu đến kiểm soát hệ thống.

Về quyền riêng tư, Apple cũng xử lý một số vấn đề đáng chú ý. Một lỗ hổng trong WebKit, mã CVE-2025-43376, trước đây có thể khiến các truy vấn DNS bị rò rỉ ngay cả khi người dùng đã bật iCloud Private Relay. Điều này làm suy giảm khả năng bảo vệ lưu lượng và ảnh hưởng trực tiếp đến quyền riêng tư khi truy cập internet.

Ngoài ra, các lỗi liên quan đến iCloud và Crash Reporter, gồm CVE-2026-28880 và CVE-2026-28878, cho phép ứng dụng độc hại liệt kê danh sách các ứng dụng đã cài đặt trên thiết bị. Đây là kỹ thuật thường được phần mềm gián điệp và các công cụ theo dõi lợi dụng để xây dựng dấu vân tay thiết bị và theo dõi người dùng.

Bản cập nhật hỗ trợ nhiều thiết bị, từ iPhone XR đến iPhone 16 và nhiều dòng iPad khác nhau, cho thấy nỗ lực mở rộng phạm vi bảo vệ trên toàn bộ hệ sinh thái của Apple.

Trước sự tồn tại của các lỗ hổng nghiêm trọng ở cấp hệ thống và một chuỗi khai thác có thể hoạt động hoàn toàn qua web như DarkSword, việc Apple chuyển sang cơ chế cập nhật cưỡng bức thông qua Automatic Updates cho thấy mức độ rủi ro được đánh giá là rất cao. Người dùng chưa nhận được thông báo được khuyến nghị chủ động kiểm tra và cài đặt thủ công, bởi việc trì hoãn đồng nghĩa với việc thiết bị tiếp tục ở trạng thái có thể bị khai thác trong thực tế.​

Theo Cyber Press​