Apple vá loạt lỗ hổng Bluetooth và AirPlay trên mọi nền tảng

Apple vừa phát hành bản cập nhật bảo mật đồng loạt cho các nền tảng của mình, trong đó điểm đáng chú ý nhất là nhóm lỗ hổng liên quan đến cơ chế ghép nối Bluetooth và AirPlay.

Ảnh minh họa iPhone và các tính năng Bluetooth, AirPlay

Những lỗ hổng được xử lý

Bản cập nhật được công bố hôm thứ Hai, vá tổng cộng 10 lỗ hổng, trong đó có 5 lỗi xuất hiện trên cùng lúc 9 bản phát hành:

• iOS và iPadOS 27.2.1, 26.7.3 và 18.7.12
• macOS Golden Gate 27.2.1, Tahoe 26.7.3 và Sequoia 15.8.3
• watchOS 27.2.1 và 26.6.1
• visionOS 27.2.1

Ba trong số năm lỗ hổng chung này liên quan đến giới hạn số lần đoán mã ghép nối (pairing code). Cụ thể, CVE-2026-113968 là lỗi AirPlay có thể bị khai thác từ khoảng cách Bluetooth, còn CVE-2026-113969 nằm trong thành phần rapportd, yêu cầu kẻ tấn công phải ở cùng mạng và liên quan đến mã ghép nối AirPlay.

Lỗi thứ ba, CVE-2026-113964 trong CoreUtils, kết hợp việc vượt giới hạn này với một tác động thứ hai. Theo Apple: "Kẻ tấn công trong phạm vi Bluetooth có thể vượt giới hạn tần suất thử mã ghép nối và ghép nối với thiết bị mà không cần người dùng thao tác."

Một lỗi CoreUtils khác, CVE-2026-113965, được mô tả tương tự: "Một thiết bị Bluetooth độc hại có thể thiết lập kết nối ghép nối mà không cần người dùng thao tác."

Lỗ hổng thứ năm là CVE-2026-113970, lỗi use-after-free (sử dụng bộ nhớ đã giải phóng) trong Bluetooth, cho phép kẻ tấn công trong phạm vi Bluetooth làm hỏng bộ nhớ tiến trình.

Lỗi trên iMessage và Brotli

Hai lỗ hổng trên ứng dụng Messages (iMessage) được vá trên nhiều hệ điều hành. CVE-2026-113961 cho phép kẻ tấn công từ xa tham gia một nhóm trò chuyện iMessage và nhận được các tin nhắn trong nhóm. Lỗi còn lại, CVE-2026-113960, có thể làm lộ các đoạn hội thoại trước đó của nhóm cho những người được thêm vào sau.

Cùng các bản phát hành này, Apple cũng sửa CVE-2026-111497, lỗ hổng Brotli mang tên Node2Shell, vốn đã bị các nhóm tấn công khai thác ngoài thực tế, dù chưa có dấu hiệu cho thấy chúng nhắm vào sản phẩm của Apple.

Hai lỗi riêng cho từng nền tảng

CVE-2026-113963 là lỗi phân quyền trong App Intents, có thể cho phép một ứng dụng truy cập thông tin nhạy cảm của người dùng. Lỗi này chỉ được liệt kê cho iOS và iPadOS 27.2.1, watchOS 27.2.1 và visionOS 27.2.1.

CVE-2026-113971 chỉ xuất hiện trong bản tư vấn của iOS và iPadOS 18.7.12, áp dụng cho iPhone XS, XS Max, XR và iPad thế hệ thứ bảy. Apple giải thích: "Kẻ tấn công có quyền truy cập vật lý có thể ghép nối thiết bị với một bộ thu AirPlay ngay từ màn hình khóa."

Ai phát hiện và mức độ ảnh hưởng

Apple tự ghi nhận công lao phát hiện 5 lỗ hổng. Một nhà nghiên cứu giấu tên đã báo cáo cả hai lỗi trên Messages và CVE-2026-113964, còn László Várady được ghi nhận với lỗi App Intents.

Không bản tư vấn nào đề cập đến việc các lỗ hổng này đã bị khai thác ngoài thực tế. Thông tin chi tiết bổ sung có trên trang Security Releases của Apple.

Ảnh chân dung tác giả bài báo gốc

Góc nhìn

Với các lập trình viên và kỹ sư bảo mật, loạt lỗ hổng lần này là lời nhắc rằng giao thức ghép nối không dây vẫn là bề mặt tấn công khó kiểm soát. Việc vượt giới hạn số lần đoán mã ghép nối cho thấy cơ chế chống dò mã (rate limiting) chỉ có giá trị khi được triển khai đúng ở mọi thành phần liên quan, từ CoreUtils đến rapportd. Doanh nghiệp quản lý thiết bị Apple theo diện rộng nên đưa các bản cập nhật này vào quy trình vá định kỳ sớm, đặc biệt với thiết bị dùng chung hoặc đặt ở nơi công cộng, vì một số lỗi chỉ cần ở gần về mặt vật lý hoặc Bluetooth là có thể khai thác.

Với các nhóm phát triển ứng dụng, lỗi App Intents và các lỗi iMessage nhắc rằng quyền truy cập dữ liệu nhạy cảm và phạm vi hiển thị nội dung nhóm cần được thiết kế theo nguyên tắc đặc quyền tối thiểu, không chỉ dựa vào việc hệ điều hành đã vá lỗi.