Apple экстренно решает проблему с уязвимостью в iPhone, позволявшую ФБР читать навсегда удаленные сообщения

На минувшей неделе компания Apple выпустила экстренное обновление iOS 26.4.2. Оно закрывает критическую уязвимость с идентификатором CVE-2026-28950. 

Проблема, обнаруженная в подсистеме уведомлений iPhone, позволяла правоохранительным органам восстанавливать содержание вроде бы навсегда удаленных сообщений.

Инцидент получил огласку благодаря расследованию, выявившему, что ФБР успешно применило этот эксплойт для извлечения переписки фигурантов дела в Техасе даже после того, как приложение Signal было полностью стерто с устройства.

Как установили эксперты, корень проблемы лежит не в приложениях, а на уровне операционной системы.

Согласно официальному бюллетеню безопасности Apple, уведомления, помеченные для удаления, неожиданно сохранялись на устройстве. Проще говоря, когда на экран блокировки iPhone приходило push-уведомление с текстом сообщения, iOS оставляла его копию в своей внутренней базе данных.

Эта информация не уничтожалась автоматически и могла храниться до месяца, – пишут СМИ.

Таким образом, даже полное удаление мессенджера не гарантировало исчезновения данных — они оставались в системных журналах, откуда их можно было извлечь с помощью специальных инструментов судебной экспертизы.

Детали использования этой лазейки вскрылись в ходе федерального судебного разбирательства в Форт-Уэрте, штат Техас, по делу о нападении на центр содержания нелегальных мигрантов (ICE) в Алварадо, произошедшем в июле 2025 года.

Агент ФБР дал показания, что ведомство сумело получить доступ к входящим сообщениям Signal на телефоне обвиняемой Линетт Шарп именно через базу данных push-уведомлений. При этом важно отметить, что сообщения не перехватывались на лету и не извлекались из защищенного хранилища самого Signal — они были считаны с памяти устройства постфактум.

Стоит подчеркнуть, что правоохранители смогли восстановить только входящие послания, так как исходящие не дублируются в виде входящих же уведомлений.

Устранена проблема была путем улучшения процесса редактирования данных в системе. Apple не стала раскрывать подробные технические детали и не подтвердила факт массовой эксплуатации уязвимости, однако совпадение времени выхода патча с судебными разбирательствами не оставляет сомнений в причинах спешки.

В компании лишь скупо пояснили, что обновление исправляет ошибку, из-за которой уведомления могли «непредвиденно долго сохраняться» после пометки на удаление. При этом патч был выпущен не только для актуальной iOS 26, но и для предыдущей ветки iOS 18.7.8, что говорит о серьезности угрозы.

Представители Signal, комментируя ситуацию в соцсети X, выразили благодарность Apple за оперативность, подчеркнув, что шифрование самого мессенджера скомпрометировано не было.

В заявлении Signal отдельно отмечено, что для защиты пользователей не требуется предпринимать никаких дополнительных действий в настройках приложения. Сразу после установки патча все непреднамеренно сохраненные уведомления будут удалены, и впредь система не будет удерживать данные от уже стертых программ.

Правозащитники из Electronic Frontier Foundation (EFF) уже отреагировали на инцидент, призвав пользователей пересмотреть настройки уведомлений в целом.

Эксперты по кибербезопасности единодушны в рекомендации немедленно установить iOS 26.4.2 в разделе «Настройки» → «Обновление ПО», чтобы предотвратить доступ третьих лиц к личной переписке через системные уязвимости.