iOS'ta worse_query açığı için kod yayımlandı, kripto cüzdan kullanıcıları uyarıldı

Siber Güvenlik Başkanlığı, 10 Kasım’da yayımladığı TR-26-1499 numaralı bildirimde, iOS’u etkileyen ve worse_query adı verilen bir uygulama korumalı alanı (sandbox) kaçışı açığı için uyarıda bulundu. Başkanlığa göre açığa ilişkin kavram kanıtı (PoC) kodu 8 Kasım’da GitHub’da yayımlandı. Çalışma, geliştiricinin daha önceki bad_query adlı çalışmasının devamı.

Açığın etkisi

Geliştiricinin GitHub sayfasında worse_query, iOS 26.0 ile 26.7.2 arası ve iOS 27.2 için bir sandbox kaçışı olarak tanımlanıyor. Geliştirici kodun geliştiricilere yönelik bir kavram kanıtı olduğunu ve tek başına bir işe yaramadığını, kullanmak için uygulamada bir App Group kapsayıcısı kurulması gerektiğini yazıyor. Başkanlığa göre açığın istismar edilebilmesi için kullanıcının güvenilmeyen bir kaynaktan kötü amaçlı bir uygulama kurup çalıştırması gerekiyor ve App Store üzerinden bu yolun kullanılabildiği doğrulanmadı.

Geliştiricinin ifadesine göre açık kod çalıştırma, yetki yükseltme ya da jailbreak imkânı vermiyor. Bununla birlikte Başkanlığa göre kötü amaçlı bir uygulama şu klasörlere erişip buradaki dosyaları okuyabiliyor:

• Diğer uygulamaların veri klasörleri
• Uygulamalar arasında paylaşılan App Group klasörleri
• Bazı eklenti ve dahili servis klasörleri
• iOS 27’de bazı sistem klasörleri

Geliştiricinin GitHub sayfasında listelenen yollar şunlar:

/var/containers/Data/System (iOS 27)
/var/containers/Shared/SystemGroup/* (iOS 27)
/var/mobile/Containers/Data/Application/*
/var/mobile/Containers/Data/InternalDaemon/*
/var/mobile/Containers/Data/PluginKitPlugin/*
/var/mobile/Containers/Shared/AppGroup/*
/var/mobile/Containers/Shared/AppGroup (iOS 27)

Kripto cüzdanlar için uyarı

Başkanlığın aktardığına göre Binance ve SlowMist, başta kripto para cüzdanları olmak üzere şu bilgileri düz metin olarak saklayan uygulamaların risk altında olduğunu değerlendiriyor:

• Kurtarma kelimeleri (seed phrase)
• Özel anahtarlar ve keystore dosyaları
• WebView önbellekleri
• Oturum bilgileri

Başkanlığa göre sahada istismar, kurban ya da kripto varlık hırsızlığı bildirilmedi ve açığa henüz CVE numarası verilmedi.

Apple’ın 9 Kasım güncellemeleri

Başkanlığa göre Apple’ın 9 Kasım’da yayımladığı iOS 27.2.1 ve iOS 26.7.3 güncel sürümler. Bu sürümlerin güvenlik notlarında worse_query’nin adı geçmiyor. Apple iOS 27.2.1 ile dokuz, iOS 26.7.3 ile sekiz açığı kapattı. Bunlar arasında uzaktaki bir saldırganın bir iMessage grup sohbetine katılıp iletileri almasına izin veren CVE-2026-113961 ile Bluetooth menzilindeki bir saldırganın ya da kötü amaçlı bir Bluetooth cihazının kullanıcı etkileşimi olmadan eşleşme kurmasına izin veren CVE-2026-113964 ve CVE-2026-113965 var. Apple’ın notlarında bu açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Önerilen önlemler

Siber Güvenlik Başkanlığı kurumlara ve bireysel kullanıcılara şunları öneriyor:

• iOS ve iPadOS’u 27.2.1 sürümüne, iOS 26 kullanan cihazlarda 26.7.3 sürümüne güncelleyin ve uygulamaları güncel tutun.
• Güvenilmeyen kaynaklardan edinilmiş uygulamaları kaldırın ve bu tür uygulamaları kurmayın.
• Kurumsal cihazlarda mobil cihaz yönetimi (MDM) çözümleriyle kurumsal olmayan imzalı uygulama kurulumlarını ve geliştirici profillerini denetleyin.

Başkanlığa göre güvenlik güncellemesi, güncellemeden önce kurulmuş zararlı bir uygulamanın ele geçirdiği verileri geri almıyor. Bu nedenle güvenilmeyen bir kaynaktan uygulama kurulmuş cihazlarda saklanan kimlik bilgilerinin ve anahtarların ele geçirilmiş kabul edilmesi gerekiyor.