Bluetooth-lek op iPhones en Macs maakt uitvoeren van code mogelijk
Het gaat om kwetsbaarheid CVE-2026-65414, die aanwezig is in het Bluetooth-onderdeel van verschillende Apple-besturingssystemen. Volgens Apple kan een aanvaller op afstand het lek misbruiken om een app onverwacht te laten crashen of zelfs willekeurige code uit te voeren. De oorzaak was een zogeheten out-of-bounds write, waarbij software buiten het daarvoor bedoelde stuk geheugen kan schrijven.
Apple heeft het probleem verholpen in onder meer iOS 27, iPadOS 27, iOS 26.7 en iPadOS 26.7. Ook Macs krijgen de patch via macOS Golden Gate 27, macOS Tahoe 26.7 en macOS Sequoia 15.8. Hetzelfde Bluetooth-lek zat overigens ook in andere Apple-apparaten, waaronder recente Apple Watches en Apple TV-modellen.
Meer dan alleen Bluetooth
De nieuwe updates lossen nog tientallen andere beveiligingsproblemen op. Zo is er een kwetsbaarheid in AVEVideoEncoder waardoor een app die normaal binnen een sandbox draait toch willekeurige code met kernelrechten zou kunnen uitvoeren. Daarnaast dicht Apple onder meer lekken waarmee apps gevoelige gegevens konden uitlezen, beveiligingscontroles konden omzeilen of toegang konden krijgen tot permanente apparaat-ID’s.
Ook Siri Suggestions kreeg een beveiligingspatch. Door CVE-2026-86890 kon iemand met fysieke toegang tot een vergrendelde iPhone of iPad mogelijk gevoelige gebruikersinformatie bekijken. Apple vertelt niet om welke gegevens het precies gaat.
In iOS en iPadOS 26.7 zijn 82 CVE’s opgelost. Voor iOS en iPadOS 27 ligt dat aantal nog hoger: verschillende tellingen komen uit op 126 tot 127 vermeldingen, waarvan een groot deel ook in iOS 26.7 is opgelost.
Apple meldt bij geen van deze kwetsbaarheden dat het bedrijf weet van actief misbruik. Toch is het verstandig om de updates zo snel mogelijk te installeren, zeker omdat de technische details van verschillende lekken inmiddels openbaar zijn gemaakt. Op iPhones en iPads kan dat via Instellingen > Algemeen > Software-update.
