BTC
ETH
USDT
BNB
USDC
XRP
SOL
TRX
worse_query дазваляе праграмам iOS чытаць файлы іншых праграм, а выпраўлення ад Apple не паведамляецца
Binance 10 лістапада заклікала карыстальнікаў выдаляць праграмы з ненадзейных крыніц; у выпусках ад 9 лістапада 2026 года няма ні выпраўлення, ні CVE.
Галоўнае
- worse_query — гэта zero-day у iOS, які дазваляе шкодным праграмам чытаць лакальныя файлы іншых праграм, у тым ліку ключы кашалькоў.
- Binance 10 лістапада папярэдзіла карыстальнікаў пра ўразлівасць у некалькіх версіях iOS.
- Apple 9 лістапада выпусціла iOS 27.2.1 і 26.7.3 без указанага выпраўлення або CVE для гэтай памылкі.
- SlowMist сцвярджае, што сама па сабе памылка нічога не крадзе; патрэбна шкодная праграма, усталяваная ў абыход App Store, і захоўванне даных у адкрытым выглядзе.
- Пацверджаных крадзяжоў крыпты праз worse_query на момант публікацыі крыніцы не паведамлялася.
Zero-day у ізаляцыі кантэйнераў iOS
Уразлівасць zero-day у iOS пад назвай worse_query дазваляе шкодным праграмам чытаць файлы іншых праграм. Даследчык бяспекі forcequitOS 8 лістапада 2026 года апублікаваў працоўны proof-of-concept на GitHub. Памылку апісалі як пераемніка ранейшага эксплойта bad_query.
Звычайна iOS трымае кожную праграму ў ізаляванай пясочніцы. Worse_query выкарыстоўвае інтэрфейс запытаў у менеджэры кантэйнераў праз сімвалічныя спасылкі ўнутры кантэйнера групы праграм. Гэта дазваляе шкоднай праграме чытаць, змяняць або выдаляць базы даных, дакументы, кэшы і файлы канфігурацыі іншых праграм без джейлбрэйку і без эксплойта ядра, паводле аналізу кампаніі па бяспецы Ostorlab.
Папярэджанне Binance, абмежаванае выпраўленне
Binance 10 лістапада 2026 года выпусціла папярэджанне ў X. У ім гаворыцца, што праблема закранае iOS на ўзроўні сістэмы, уключаючы версіі 26.7.1, 27.0.1 і 27.2. Біржа дадала: «Гэта праблема ўзроўню iOS, а не толькі Binance». Біржа параіла карыстальнікам выдаляць праграмы, усталяваныя з ненадзейных крыніц, і абнаўляць iOS да апошняй афіцыйнай версіі.
Apple 9 лістапада 2026 года выпусціла iOS 27.2.1 і iOS 26.7.3. У яе паведамленнях пра бяспеку не згадваецца выпраўленне выхаду з пясочніцы і не прысвоены ідэнтыфікатар CVE для worse_query. Ostorlab заявіла, што прагал застаецца адкрытым і пацверджанага выпраўлення ад вытворцы няма. Паколькі CVE не прысвоены, на 10 лістапада 2026 года ўразлівасці не было ў каталогу вядомых эксплуатаваных уразлівасцей CISA.
Рызыка для кашалькоў залежыць ад умоў
Паводле кіраўніка інфармацыйнай бяспекі SlowMist, вядомага як 23pds, памылка сама па сабе не крадзе сродкі. Для крадзяжу патрэбны дзве ўмовы адначасова: карыстальнік усталёўвае і запускае шкодную праграму па-за App Store, а закрануты кашалёк захоўвае seed-фразы, файлы keystore або кэшы WebView у адкрытым выглядзе ў лакальна даступнай папцы.
Інструменты, створаныя на аснове эксплойта і якія публічна распаўсюджваюцца пад назвай WQ Files, ужо могуць чытаць, змяняць і выдаляць файлы трэціх бакоў. На момант паведамлення не было пацверджаных крадзяжоў крыпты праз worse_query. SlowMist рэкамендавала не ўсталёўваць IPA ў абыход App Store, трымаць iOS абноўленай, захоўваць канфідэнцыйныя даныя толькі ў зашыфраваным выглядзе і перанесці актывы ў новы кашалёк, створаны на чыстай прыладзе, калі была ўсталявана ненадзейная праграма.
Ostorlab заявіла, што Apple не апублікавала паведамлення або выпраўленай версіі для worse_query. Эксплойт застаецца актыўным, публічны код даступны.
Крыніцы
1 крыніца- Territorio BitcoinEl fallo zero-day “worse_query” pone en jaque a las billeteras cripto y sigue sin parche oficial de Apple
Гэты артыкул падрыхтаваў Clause, ШІ-рэпарцёр BattleTown News, на аснове справаздач, пералічаных вышэй.
Частыя пытанні
Ці выправіла Apple worse_query?
Не. Apple 9 лістапада 2026 года выпусціла iOS 27.2.1 і iOS 26.7.3, але ні ў паведамленнях пра бяспеку, ні ў ідэнтыфікатары CVE не згадваецца выпраўленне worse_query, паводле Territorio Bitcoin.
Ці ёсць вядомыя крадзяжы праз worse_query?
Binance заявіла, што ненадзейныя праграмы, усталяваныя ў абыход App Store, і незашыфраванае лакальнае захоўванне seed-фраз робяць рызыку магчымай. SlowMist заявіла, што памылка сама па сабе не крадзе сродкі. На момант паведамлення не было паведамленняў пра крадзяжы крыпты з выкарыстаннем worse_query.
Матэрыял мае толькі інфармацыйны характар. Гэта не фінансавая, інвестыцыйная або юрыдычная кансультацыя. Адмова ад адказнасці
BattleTown: танкавыя бітвы ў браўзеры
Новыя міні-гульні — «Штурм» і «Прарыў» — хутка ў BattleTown
