Apple срочно закрыла брешь в «Общем экране» на Mac — обновитесь на этих выходных

Apple выпустила macOS Tahoe 26.6.1 в четверг — через семь дней после macOS Tahoe 26.6. Уже сам ритм и есть новость. Версии «точка один» обычно выходят с интервалом в несколько недель и собирают в себе накопившиеся исправления; ради косметических правок Apple собственный календарь не ломает.

Что именно позволяла уязвимость

Брешь обнаружилась в «Общем экране» — встроенной в каждый Mac функции, которая позволяет одному компьютеру видеть экран другого в той же сети и управлять им. Это то, чем чинят Mac родственника из соседней комнаты или дотягиваются до рабочей машины, сидя на совещании.

Предполагается, что «Общий экран» требует имя пользователя и пароль, прежде чем отдать чужим рукам клавиатуру и мышь. Согласно бюллетеню безопасности Apple, злоумышленник, уже находящийся в той же сети Wi-Fi, мог пройти аутентификацию без действительных учётных данных. Компания сообщает, что проблема аутентификации устранена «улучшенным управлением состояниями» — стандартная формулировка Apple, которая описывает скорее форму исправления, чем форму самого сбоя.

Если перевести на человеческий язык: машину в вашей сети можно было убедить принять соединение, которое она обязана была отклонить, — и человек на другом конце оказывался перед вашим экраном с вашей же клавиатурой в руках.

Функция, о которой вы могли забыть

«Общий экран» — не то, что люди настраивают осознанно. Он поставляется с каждой копией macOS, дремлет в «Системных настройках» и включается кем угодно: специалистом техподдержки, профилем удалённого управления, приложением для совместной работы или вами же несколько лет назад, когда вы пытались починить принтер. Спустя годы он по-прежнему включён, и никто не помнит, кто это сделал.

Именно это превращает ограниченную по условиям уязвимость в практическую. Дыра в функции, которую сознательно настроили два процента пользователей, — узкая проблема. Дыра в функции, которая присутствует на каждом Mac и тихо работает на неизвестной доле из них, — совсем другой разговор. И это лучшее объяснение тому, почему Apple среагировала так быстро.

Масштаб важен в обе стороны

Это не та уязвимость, которую можно использовать с другого конца интернета. Атакующий должен уже находиться в вашей сети, а значит, сценарий с массовым сканированием, который делает удалённые бреши по-настоящему опасными, отпадает.

Но «ваша сеть» покрывает куда больше ситуаций, чем принято представлять. Это корпоративный Wi-Fi, разделённый с несколькими сотнями коллег и их гостей. Это коворкинг, гостиница, конференц-площадка, кафе, где ноутбук остался открытым, пока вы стояли у стойки. В любой сети, которую вы не контролируете лично, уверенность в том, что «Общий экран» отклонит запрос без авторизации, была — вплоть до четверга — просто ошибочной.

Отсюда же следует, что проблема острее для ноутбуков, чем для настольных машин. Mac mini в домашнем кабинете почти никогда не покидает доверенную сеть. MacBook подключается к полудюжине недоверенных за одну неделю.

Три системы, а не одна

Apple выпустила то же исправление для двух более старых версий macOS, которые она ещё поддерживает: macOS Sonoma 14.8.9 и macOS Sequoia 15.7.9. Эта деталь сама по себе является сигналом.

Политика обновлений безопасности Apple обычно охватывает текущую версию macOS и две предыдущие, но старые системы, как правило, получают исправления пакетами, а не поштучно. Перенести одну-единственную правку сразу на обе, вне графика и в один день, — поведение компании, которая не хочет оставлять конкретно эту дыру открытой нигде.

Бюллетень Apple не сообщает, воспользовался ли кто-нибудь уязвимостью до выхода патча. Компания делает это редко: у неё давняя практика упоминать активную эксплуатацию только тогда, когда она в ней уверена. А значит, отсутствие такой формулировки не доказывает ничего ни в одну, ни в другую сторону.

Почему «улучшенное управление состояниями» — самая интересная формулировка

Бюллетени безопасности Apple написаны нарочито узким словарём, и каждое выражение несёт смысл для тех, кто читает их регулярно.

«Улучшенное управление состояниями» указывает на класс ошибок, при которых система теряет нить собственной последовательности действий — в данном случае последовательности аутентификации. Речь не о подобранном или перехваченном пароле: программу можно было привести в состояние, в котором она считала этап проверки учётных данных уже пройденным. Это отказ на уровне архитектуры, а не криптографии, и находят такие вещи обычно исследователи, методично прощупывающие протокол, а не случайные злоумышленники.

На то, что вам следует сделать, это не влияет, но объясняет скорость реакции Apple. Обход аутентификации не деградирует плавно: дверь либо заперта, либо нет.

Установка занимает две минуты

Откройте «Системные настройки», перейдите в раздел «Основные», затем «Обновление ПО» и установите то, что предложит система. На Tahoe нужно оказаться на версии 26.6.1, на Sequoia — 15.7.9, на Sonoma — 14.8.9. Обновление небольшое и не требует долгой перестройки системы, свойственной крупным релизам.

Проверить, какая версия установлена сейчас, можно там же: «Системные настройки» → «Основные» → «Об этом Mac». Если номер не совпадает с одним из трёх перечисленных, обновление ещё не установлено, даже когда система утверждает, что всё в порядке, — иногда пакет скачан, но ждёт перезагрузки.

Если вы администрируете компьютеры для других — для семьи, небольшой студии, учебного заведения, — это тот случай, когда обновление стоит разослать принудительно, а не ждать, пока каждый доберётся сам. «Общий экран» оказывается включён заметно чаще, чем пользователи помнят о том, что его включали: сплошь и рядом это делает инструмент технической поддержки или профиль удалённого управления, установленный несколько лет назад и с тех пор никем не пересмотренный.

Если по какой-то причине обновиться прямо сейчас нельзя — рабочий ноутбук на управлении ИТ-отдела, машина в разгар долгого рендера, — разумный временный шаг тот же самый: выключить «Общий экран» и не подключаться к чужим сетям без необходимости. Это не замена патчу, но сокращает окно до нуля ровно там, где риск реален.

Как проверить и при необходимости выключить «Общий экран»

Текущее состояние функции проверяется в «Системных настройках», в разделе «Основные», далее «Общий доступ», где «Общий экран» присутствует в виде переключателя. Если ничего в вашей сети им не пользуется, отключение не стоит ничего и полностью закрывает эту поверхность атаки.

Заодно имеет смысл посмотреть, что ещё включено в том же разделе и кому именно разрешён доступ: список пользователей у «Общего экрана» настраивается отдельно, и он тоже мог быть расширен когда-то давно и с тех пор не пересматривался. Установка обновления решает конкретную проблему этой недели; ревизия списка включённых служб решает целый класс похожих проблем на будущее.

Возможно, будет ещё одно обновление

Отдельно MacRumors сообщил в пятницу, что заметил признаки внутреннего тестирования iOS 26.6.1 — по версиям операционных систем в журналах посещений собственного сайта. Это наблюдение, а не анонс; Apple не говорила ничего.

Тем не менее наблюдения такого рода уже не раз оказывались верными, и сроки выглядели бы логично: когда Apple быстро закрывает что-то на Mac, эквивалент для iPhone, если он существует, обычно выходит в течение нескольких дней. Прямого аналога «Общего экрана» в iOS нет, поэтому возможное обновление iOS 26.6.1 почти наверняка касалось бы чего-то другого.

Почему августовские обновления пропускают — и почему это не тот случай

У этой привычки есть предсказуемый сезонный рисунок. Каждое лето Apple выпускает в конце июля крупное обновление безопасности — macOS Tahoe 26.6 вышло 27 июля с широким набором исправлений в WebKit, ядре и системных службах, — а затем проводит август, укрепляя платформу, пока следующая большая версия дозревает в бета-цикле. Пользователи же в августе уезжают в отпуск, видят версию «точка один», решают, что до осеннего обновления осталось всего несколько недель, и откладывают.

Обычно это рассуждение безобидно. Здесь — нет. Обход аутентификации не относится к ошибкам, которые слегка портят впечатление, пока у вас не дойдут руки. Это дверь, которая либо запирается, либо не запирается. А промежуток между сегодняшним днём и выходом macOS 27 — как раз тот период, когда ноутбук чаще всего подключается к сетям гостиниц, аэропортов и кафе, которых он прежде никогда не видел.