iMessage Grup Sohbeti Açığı: iOS 27.2.1 Güncellemesi Çıktı

iMessage grup sohbetlerine davetsiz kişilerin katılıp mesajları okumasını sağlayan açıklar Apple tarafından iOS 27.2.1 sürümüyle kapatıldı.

Elde tutulan iPhone'da Mesajlar (Messages) uygulaması açık, yeni mesaj ekranı

Uzaktaki bir saldırganın iMessage grup sohbetine katılıp gönderilen mesajları alabildiği yetkilendirme açığı Apple tarafından giderildi. Ayrıca, gruba eklenen bir kişinin katılmadan önceki eski mesajları görebilmesine yol açan ikinci bir açık da kapatıldı.

Apple, bu güvenlik sorunlarını onarmak için iOS 27.2.1 ve eski cihazlar için iOS 26.7.3 güncellemelerini yayımladı.

İki iMessage açığı

Apple'ın 9 Kasım 2026'da yayımladığı güvenlik belgesine göre, Mesajlar uygulamasında bulunan CVE-2026-113961 kodlu açık uzaktaki bir saldırganın bir iMessage grup sohbetine katılmasına ve mesajları almasına izin veriyordu. Apple, bir yetkilendirme sorunu olarak tanımladığı bu açığı daha iyi doğrulamayla giderdi.

İkinci açık olan CVE-2026-113960 ise bir iMessage grubuna eklenen kullanıcının henüz katılmadan önce gönderilen mesajlara erişebilmesine neden oluyordu. Şirket, bu açığı savunmasız kodu kaldırarak çözdü. İki sorunu da kimliğini açıklamayan araştırmacılar bildirdi.

Bluetooth ve AirPlay eşleştirmesinde deneme sınırı aşılıyordu

Yeni güncelleme, cihazların bağlantı süreçlerindeki hataları da ele alıyor. Bluetooth menzilindeki bir saldırgan eşleştirme kodu deneme sınırını aşıp kullanıcı etkileşimi olmadan cihazla eşleşebiliyordu (CVE-2026-113964). Başka bir açıkta ise kötü amaçlı bir Bluetooth cihazı etkileşim olmadan eşleşme kurabiliyordu (CVE-2026-113965).

Benzer sorunlar AirPlay özelliğinde de görüldü; Bluetooth menzilinden (CVE-2026-113968) ve aynı ağ üzerinden (CVE-2026-113969) eşleştirme kodu deneme sınırı aşılabiliyordu. Belgede ayrıca Bluetooth sürecinde bellek bozma (CVE-2026-113970), brotli bileşeninde bellek bozulması (CVE-2026-111497) ve App Intents'te uygulamaların hassas verilere erişmesi (CVE-2026-113963) gibi hataların onarıldığı belirtildi.

Hangi cihazlar, hangi sürüm

iOS 27.2.1 ve iPadOS 27.2.1 güncellemesinde toplam dokuz CVE kaydı bulunuyor. Bu sürüm iPhone 11 ve sonrası, iPad Pro 12,9 inç 4. nesil ve sonrası, iPad Pro 11 inç 2. nesil ve sonrası, iPad Air 4. nesil ve sonrası, iPad 9. nesil ve sonrası ile iPad mini 6. nesil ve sonrası cihazlara gönderildi.

Aynı iki iMessage düzeltmesi iOS 26.7.3, iPadOS 26.7.3, macOS Golden Gate 27.2.1 ve watchOS 27.2.1 belgelerinde de yer alıyor. iPhone XS, XS Max, XR ve iPad 7. nesil için çıkan iOS 18.7.12 belgesinde ise bu iki iMessage maddesi bulunmuyor; eski sürümlerin etkilenip etkilenmediği açıklanmadı.

Bilinmeyenler ve Türkiye açısından

iMessage açığının nasıl kullanıldığı, gerçek saldırılarda görülüp görülmediği ve etkilenen kullanıcı sayısı açıklanmadı. Apple'ın yayımladığı belgelerde sorunların saldırılarda kullanıldığına dair bir kayıt yer almıyor.

Türkiye açısından değerlendirildiğinde, iPhone ve iPad kullanıcıları Ayarlar menüsündeki Genel altından Yazılım Güncelleme bölümüne girerek iOS 27.2.1'i ya da cihazları için çıkan 26.7.3'ü yüklemeli. Mac ve Apple Watch kullananlar da ilgili güncellemeleri kontrol etmeli. Kullanıcıların grup sohbetlerinde tanımadığı bir katılımcı gördüklerinde bunu dikkate alması önem taşıyor. Güncelleme 10 Kasım 2026: Siber Güvenlik Başkanlığı, TR-26-1497 ile Apple güvenlik bildirimini yayımladı.