Apple v pondělí 27. července vydal iOS 26.6 a společně s ním celou rodinu aktualizací 26.6 pro iPad, Mac, Apple Watch, Apple TV, Vision Pro i HomePod. Jak jsme před pár dny informovali, šlo o očekávané vydání s bezpečnostními opravami. Teď je venku a čísla ukazují, proč se s instalací nevyplatí čekat.
Úvod
iOS 26.6 a iPadOS 26.6 doplňuje seznam vydání macOS Tahoe 26.6, watchOS 26.6, tvOS 26.6, visionOS 26.6 a softwaru pro HomePod. Vedle nich Apple současně vypustil bezpečnostní záplaty i pro dvě starší generace macOS, Sequoia 15.7.8 a Sonoma 14.8.8. Jde o klasickou letní bezpečnostní aktualizaci, tentokrát ale výrazně objemnější než obvykle. Podle Apple Support dokumentace, kterou cituje server 9to5Mac, řeší iOS 26.6 celkem 78 jednotlivých položek navázaných na 87 unikátních CVE čísel, tedy oficiálně evidovaných bezpečnostních chyb.
Kolik děr Apple opravil a proč na tom záleží
Přesná čísla se mezi weby mírně liší podle metodiky počítání. Server AppleInsider mluví o „více než 75 bezpečnostních vylepšeních“, MacRumors o „téměř 90 zranitelnostech“ v hrubším zaokrouhlení. Nejpřesnější údaj nabízí přímo Apple Support bulletin, ze kterého vychází zmíněných 87 unikátních CVE pro iOS a iPadOS 26.6. U macOS Tahoe 26.6 je rozsah ještě větší: 155 unikátních CVE podle stejného zdroje, zatímco MacRumors uvádí zaokrouhleně „více než 130 oprav“. U doplňkových systémů, tedy watchOS, tvOS a visionOS, se počet oprav pohybuje kolem 80.
Podstatnější než přesná čísla je, čeho se opravy týkají. Čtrnáct z nich se dotýká přímo jádra systému, přičemž deset chyb umožňovalo aplikaci vyvolat pád celého systému a další dávaly přístup k citlivým datům nebo umožňovaly zápis do paměti jádra. Oprava v komponentě MediaRemote uzavírá chybu zpracování cest, kterou šlo zneužít k získání root oprávnění, tedy nejvyšší úrovně přístupu do systému. WebKit dostal osm záplat, mimo jiné proti sledování navštívených odkazů a útokům typu odepření služby. Upravena byla i funkce iPhone Mirroring, kde chyba ve správě stavu přístupnosti mohla za určitých okolností umožnit neoprávněný přístup k datům, a Siri, odkud Apple odstranil kód odhalující citlivé informace uživatele.
Napříč vydáním Apple neuvádí, že by některou z těchto zranitelností někdo aktivně zneužíval v reálném provozu. Server AppleInsider to výslovně zdůrazňuje jako rozdíl oproti některým dřívějším mimořádným vydáním, která reagovala právě na aktivně zneužívané chyby. To ale neznamená, že je aktualizace na pořadu dne až někdy příště: chyby s eskalací na root oprávnění nebo pádem jádra patří mezi nejzávažnější kategorie vůbec, a jakmile Apple zveřejní jejich popis, stávají se veřejně známým návodem pro případné útočníky.
Maps Blastdoor: nová ochrana pro Apple Mapy
Vedle bezpečnostních záplat přináší iOS 26.6 také nový ochranný mechanismus s názvem Maps Blastdoor, jak popisuje AppleInsider. Jde o rozšíření technologie BlastDoor, kterou Apple poprvé nasadil v iOS 14 pro aplikaci Zprávy, nyní i na Apple Mapy. Princip je jednoduchý: potenciálně nedůvěryhodná data, například obsah předaný z internetu nebo z jiné aplikace, se nejprve zpracují v přísně izolovaném prostředí bez přístupu k souborovému systému, síti nebo hardwaru, a teprve výsledek se předá hlavní aplikaci Mapy. Apple přitom zdůrazňuje, že zavedení této vrstvy neznamená odhalení konkrétního útoku na Mapy: jde o preventivní opatření, ne reakci na incident.
Drobnosti, které si všimnete
Aktualizace obsahuje i menší úpravy, které nejsou bezpečnostní, ale ovlivní každodenní používání. Systém nově upozorní, když dosáhnete limitu 20 000 blokovaných kontaktů, což je horní hranice, kterou iOS podporuje. Pokud chcete zablokovat další kontakt po dosažení limitu, budete muset nejdřív nějaký odebrat.
Na pozadí navíc iOS 26.6 a iPadOS 26.6 tiše indexují data, jako jsou fotky, zprávy, e-maily, poznámky nebo soubory. Cílem je připravit podklad pro Siri v nadcházejícím iOS 27, aby po instalaci nové verze na podzim nemusela procházet zdlouhavým dodatečným indexováním a hledání relevantního obsahu fungovalo od začátku rychle. Vedlejším efektem může být dočasně vyšší spotřeba baterie nebo zahřívání telefonu, hlavně u zařízení s velkým množstvím uložených dat. Apple neuvedl, jak dlouho má proces trvat.
Co to znamená pro české uživatele
Aktualizace je globální a do Česka dorazila souběžně se zbytkem světa, žádné regionální omezení ani jazykový rozdíl u ní nehraje roli: jde čistě o bezpečnostní záplaty a technické vylepšení, ne o funkci vázanou na konkrétní trh. Doporučení aktualizovat platí pro všechny stejně.
Podporu si iOS 26.6 zachovává pro stejný okruh zařízení jako celá řada iOS 26, tedy od iPhonu 11 a druhé generace iPhonu SE výše. Starší modely, iPhone XS, XS Max a XR, zůstaly mimo podporu už od loňského podzimu, kdy vyšel samotný iOS 26. S aktuální aktualizací 26.6 to nijak nesouvisí, jde jen o pokračování stavu, který platí od tehdy.
Aktualizaci najdete v Nastavení, poté v sekci Obecné a dále Aktualizace softwaru. Stažení a instalace obvykle trvá řádově desítky minut v závislosti na modelu a rychlosti připojení, doporučuje se telefon připojit k nabíječce a mít stabilní Wi-Fi. Stejnou cestou přes Nastavení lze aktualizovat i iPad a Apple Watch, pro Mac vede cesta přes Předvolby systému a sekci Obecné, respektive Aktualizace softwaru.
Pokud používáte starší Mac, který už nedostal Tahoe, aktualizace se týká i vás. Apple současně vydal záplaty pro macOS Sequoia 15.7.8 a macOS Sonoma 14.8.8, takže i uživatelé o dvě až tři verze zpět dostali ochranu proti stejné kategorii chyb. I na těchto starších systémech se vyplatí aktualizaci nainstalovat co nejdřív, protože bezpečnostní záplaty jsou jediný důvod, proč Apple tyto verze ještě vůbec podporuje.
Co zatím není jasné
Přesný počet oprav zůstává mírně nejistý kvůli rozdílné metodice mezi zdroji: někde se počítají jednotlivé položky v bezpečnostním dokumentu, jinde unikátní CVE čísla, a MacRumors navíc pracuje se zaokrouhlenými odhady. Rozdíl v desítkách jednotek ale na praktickém doporučení nic nemění. Také není jasné, jak dlouho bude trvat zmíněné indexování dat pro Siri na pozadí, Apple tuto informaci nezveřejnil.
Závěr
iOS 26.6 patří k objemnějším bezpečnostním aktualizacím poslední doby, s desítkami oprav zahrnujících i vážné kategorie jako eskalaci na root oprávnění nebo chyby jádra systému. Aktivní zneužití žádné z chyb Apple nehlásí, ale to není důvod k odkládání instalace. Spolu s bezpečnostní stránkou přináší i praktické novinky jako Maps Blastdoor a tichou přípravu na iOS 27, který dorazí na podzim.
