worse_query pozwala aplikacjom iOS czytać pliki innych aplikacji, brak informacji o poprawce Apple

Zero-day w izolacji kontenerów iOS

Luka zero-day w iOS o nazwie worse_query pozwala złośliwym aplikacjom czytać pliki należące do innych aplikacji. Badacz bezpieczeństwa forcequitOS opublikował działający proof-of-concept na GitHubie 8 listopada 2026. Lukę opisano jako następcę wcześniejszego exploita bad_query.

iOS zwykle trzyma każdą aplikację w odizolowanym sandboxie. Worse_query wykorzystuje interfejs zapytań w menedżerze kontenerów przez dowiązania symboliczne wewnątrz kontenera grupy aplikacji. To pozwala złośliwej aplikacji czytać, modyfikować lub usuwać bazy danych, dokumenty, pamięci podręczne i pliki konfiguracyjne innych aplikacji bez jailbreaka i bez exploita jądra — według analizy firmy bezpieczeństwa Ostorlab.

Ostrzeżenie Binance, ograniczona poprawka

Binance wydał ostrzeżenie na X 10 listopada 2026. Firma podała, że problem dotyczy iOS na poziomie systemu, w tym wersji 26.7.1, 27.0.1 i 27.2. Dodała: «To problem na poziomie iOS, nie tylko Binance». Giełda poleciła użytkownikom usuwać aplikacje zainstalowane z niezaufanych źródeł i aktualizować iOS do najnowszej oficjalnej wersji.

Apple wydało iOS 27.2.1 i iOS 26.7.3 9 listopada 2026. W notach bezpieczeństwa nie ma wzmianki o poprawce wyjścia z sandboxa ani identyfikatora CVE dla worse_query. Ostorlab podał, że luka pozostaje otwarta i nie ma potwierdzonej poprawki od producenta. Ponieważ nie przypisano numeru CVE, luki nie było w katalogu Known Exploited Vulnerabilities CISA na 10 listopada 2026.

Ryzyko dla portfeli jest warunkowe

Według szefa bezpieczeństwa informacji SlowMist, znanego jako 23pds, luka sama w sobie nie kradnie środków. Kradzież wymagałaby jednocześnie dwóch warunków: użytkownik instaluje i uruchamia złośliwą aplikację spoza App Store, a dotknięty portfel przechowuje frazy seed, pliki keystore lub pamięci podręczne WebView w postaci jawnej w lokalnie dostępnym folderze.

Narzędzia oparte na exploicie, krążące publicznie jako WQ Files, potrafią już czytać, modyfikować i usuwać pliki innych aplikacji. Do czasu publikacji raportu nie zgłoszono potwierdzonych kradzieży kryptowalut przez worse_query. SlowMist zalecił unikanie instalowania plików IPA poza App Store, aktualizowanie iOS, przechowywanie danych wrażliwych wyłącznie w formie zaszyfrowanej oraz przeniesienie aktywów do nowego portfela utworzonego na czystym urządzeniu, jeśli zainstalowano niezaufaną aplikację.

Apple nie opublikowało komunikatu ani poprawionej wersji dla worse_query — podał Ostorlab. Exploit pozostaje aktywny, a jego kod jest publicznie dostępny.