En AI Fandt Ni Af Fejlene I Din Telefons Browser

Hvad der reelt blev udgivet

Apple udsendte den 17. august 2026 iOS 26.6.1, iPadOS 26.6.1 og macOS Tahoe 26.6.2 ifølge virksomhedens eget sikkerhedsvarsel. Opdateringen lukker 29 CVE'er, og 21 af dem sidder i WebKit, browsermotoren der gengiver enhver hjemmeside åbnet i Safari og, fordi Apple kræver at enhver tredjeparts-browser på iOS bruger samme motor, også i Chrome, Firefox og Edge på en iPhone. En fejl i WebKit forbliver ikke et Safari-problem; den bliver et problem for hvert eneste browserikon på hjemmeskærmen.

De øvrige otte dækker tre separate kernesårbarheder, en lydbehandlingsfejl der kunne lække følsomme oplysninger til en ondsindet app, en billedanalysefejl der kunne lade et præpareret billede afvikle vilkårlig kode, samt et telefoni-godkendelsesproblem der kunne lade en angriber i en privilegeret netværksposition omgå IPSec-godkendelse og læse eller ændre trafik undervejs. Flere gennemgange bemærker, at hukommelseskorruptionsfejl i WebKit kan kædes sammen med lidt eller ingen brugerinteraktion.

Bylinen ingen havde ventet

Begravet i Apples egen kreditliste for denne udgivelse står et navn, der aldrig før har vejet så tungt. OpenAI Codex Security krediteres for at have fundet ni af de 21 WebKit-sårbarheder, der blev rettet denne uge, flere end nogen enkelt menneskelig forsker nævnt i samme dokument. Det er ikke første gang, Apple krediterer et AI-system: allerede i juni krediterede sikkerhedsbulletinen for iOS 26.2 OpenAIs Codex Security og Anthropics Claude, sammen med de navngivne forskere Milad Nasr og Nicholas Carlini, for fire WebKit-fund, første gang nogensinde Apple formelt opførte et AI-system som medopdager.

Ni krediteringer i én udgivelse, op fra fire syv uger tidligere, er ikke en enlig svale. Det passer med noget andet: dette er Apples tredje sikkerhedsudgivelse på lige så mange uger, et tempo virksomheden ikke har holdt før i sin normale opdateringshistorik. Dækningen af udgivelsen sætter de to fakta sammen på samme måde som denne artikel og beskriver fejl, der dukker op hurtigere end Apples typiske udgivelsesplan kan absorbere, tilskrevet AI-understøttede opdagelsesværktøjer frem for en pludselig ændring i, hvor omhyggeligt ingeniørerne skriver WebKits kode.

Hvorfor tempoet er den egentlige historie

At et enkelt AI-system finder ni tidligere ukendte sårbarheder i et af de mest reviderede stykker software, Apple udsender, er ikke i sig selv alarmerende; det er præcis, hvad et sikkerhedsforskningsværktøj er til for. Det, der bør give et IT-team stof til eftertanke, er ændringshastigheden. WebKit er blevet skilt ad af professionelle fejljægere i over et årti; kredsen af mennesker, der kan finde en sammenkædelig hukommelsesfejl der, har altid været lille og langsom. Et system, der kan matche eller overgå det udbytte på få uger, ændrer regnestykket for, hvor ofte nye WebKit-fejl bliver fundet, ikke kun hvem der finder dem.

Værktøjerne, der udfører dette opdagelsesarbejde, er ikke forbeholdt Apples bug bounty-program. Samme kategori af AI-understøttet fuzzing og statisk analyse, som OpenAI og Anthropic har bygget, er, i mindre udbredt form, tilgængelig for alle med et regnekraftbudget til at køre den, inklusive angribere der ikke har nogen grund til først at rapportere deres fund til Apple. En forsvarers antagelse om, at WebKit-fejl dukker op langsomt, opdaget af et lille, kendt fællesskab af forskere, var allerede forældet før denne udgivelse. Tre sikkerhedsopdateringer på tre uger er det klareste offentlige bevis hidtil på, at den antagelse ikke længere holder.

Hvad du bør tjekke, før du udskyder opdateringen

Enhver browser på en iPhone eller iPad kører på WebKit, så at udskyde denne opdatering, fordi din organisation angiveligt ikke bruger Safari, fjerner ikke eksponeringen; Chrome, Firefox og Edge på iOS arver samme motor og de samme 21 rettede fejl. For organisationer omfattet af EU's NIS2-direktiv eller der følger britiske NCSC-retningslinjer, er rettidig patching af kendte sårbarheder ikke længere blot god praksis, det er en del af de forventninger til sårbarhedshåndtering, som tilsynsmyndigheder nu håndhæver. Enhver, der administrerer iPhones eller Mac'er via mobile device management, bør tjekke, hvor lang det nuværende udskydelsesvindue er sat til, og om det blev bygget ud fra en antagelse om månedlig, ikke ugentlig, offentliggørelse.

Ingen af de 29 sårbarheder, Apple opførte denne uge, er markeret i varslet som udnyttet, før rettelsen blev udsendt, hvilket er den gode nyhed. Den mindre behagelige læsning er, at virksomheden skulle bruge en tredje udgivelse i nødtempo på tre uger for at nå dertil, og at et AI-værktøj, ikke en person, fandt den største enkelte andel af det, der skulle rettes. Opdatér nu, og betragt den næste udgivelse, uanset hvornår den lander, som om den ankommer tidligere, end din kalender forventer.

Læs videre: Gunra-ransomware Kører på Fortinet-fejl fra 2025  |  Tyskland Retter Apples Skæve Reklamesamtykke