worse_query membuat aplikasi iOS membaca berkas aplikasi lain, tanpa tambalan Apple yang tercantum

Zero-day pada isolasi kontainer iOS

Kerentanan zero-day iOS bernama worse_query memungkinkan aplikasi berbahaya membaca berkas milik aplikasi lain. Peneliti keamanan forcequitOS menerbitkan proof-of-concept yang berfungsi di GitHub pada 8 November 2026. Bug ini disebut sebagai penerus eksploit sebelumnya, bad_query.

iOS biasanya menempatkan setiap aplikasi dalam sandbox terisolasi. Worse_query menyalahgunakan antarmuka kueri di pengelola kontainer melalui tautan simbolik di dalam kontainer app group. Ini memungkinkan aplikasi berbahaya membaca, mengubah, atau menghapus basis data, dokumen, cache, dan berkas konfigurasi aplikasi lain tanpa jailbreak atau eksploit kernel, menurut analisis firma keamanan Ostorlab.

Peringatan Binance, tambalan terbatas

Binance mengeluarkan peringatan di X pada 10 November 2026. Binance menyebut masalah ini memengaruhi iOS di tingkat sistem, termasuk versi 26.7.1, 27.0.1, dan 27.2. Binance menambahkan: «Ini masalah tingkat iOS, bukan khusus Binance.» Bursa itu meminta pengguna menghapus aplikasi yang dipasang dari sumber tak tepercaya dan memperbarui iOS ke versi resmi terbaru.

Apple merilis iOS 27.2.1 dan iOS 26.7.3 pada 9 November 2026. Catatan keamanannya tidak menyebut perbaikan untuk sandbox escape dan tidak memberikan pengenal CVE untuk worse_query. Ostorlab menyatakan celah ini masih terbuka tanpa tambalan yang dikonfirmasi dari produsen. Karena belum ada CVE yang diberikan, cacat ini tidak masuk katalog Known Exploited Vulnerabilities CISA per 10 November 2026.

Risiko dompet bersifat bersyarat

Menurut kepala keamanan informasi SlowMist yang dikenal sebagai 23pds, bug ini tidak mencuri dana dengan sendirinya. Pencurian memerlukan dua syarat sekaligus: pengguna memasang dan menjalankan aplikasi berbahaya dari luar App Store, dan dompet yang terdampak menyimpan seed phrase, berkas keystore, atau cache WebView dalam bentuk teks biasa di folder yang dapat diakses secara lokal.

Alat turunan dari eksploit ini, yang beredar publik sebagai WQ Files, sudah dapat membaca, mengubah, dan menghapus berkas pihak ketiga. Tidak ada pencurian kripto terkonfirmasi melalui worse_query yang dilaporkan hingga laporan itu terbit. SlowMist menyarankan agar tidak melakukan sideload IPA, menjaga iOS tetap mutakhir, menyimpan data sensitif hanya dalam bentuk terenkripsi, dan memindahkan aset ke dompet baru yang dibuat di perangkat bersih jika aplikasi tak tepercaya sempat dipasang.

Apple belum menerbitkan pemberitahuan atau versi perbaikan untuk worse_query, kata Ostorlab. Eksploit ini masih aktif dengan kode yang tersedia publik.