worse_query cho ứng dụng iOS đọc tệp của ứng dụng khác, chưa có bản vá từ Apple

Lỗ hổng zero-day trong cách ly container của iOS

Một lỗ hổng zero-day trên iOS có tên worse_query cho phép ứng dụng độc hại đọc tệp của ứng dụng khác. Nhà nghiên cứu bảo mật forcequitOS công bố bản chứng minh khái niệm hoạt động được trên GitHub ngày 8 tháng 11 năm 2026. Lỗi này được mô tả là kế thừa một khai thác trước đó, bad_query.

iOS thường giữ mỗi ứng dụng trong một sandbox riêng. Worse_query lợi dụng giao diện truy vấn trong trình quản lý container thông qua các liên kết tượng trưng bên trong container nhóm ứng dụng. Điều này cho phép ứng dụng độc hại đọc, sửa hoặc xóa cơ sở dữ liệu, tài liệu, bộ nhớ đệm và tệp cấu hình của ứng dụng khác mà không cần jailbreak hay khai thác kernel, theo phân tích của hãng bảo mật Ostorlab.

Cảnh báo của Binance, bản vá còn hạn chế

Binance đưa ra cảnh báo trên X ngày 10 tháng 11 năm 2026. Sàn cho biết vấn đề ảnh hưởng đến iOS ở cấp hệ thống, gồm các phiên bản 26.7.1, 27.0.1 và 27.2. Sàn nói thêm: «Đây là vấn đề cấp iOS, không riêng Binance.» Sàn khuyên người dùng xóa ứng dụng cài từ nguồn không tin cậy và cập nhật iOS lên bản chính thức mới nhất.

Apple phát hành iOS 27.2.1 và iOS 26.7.3 ngày 9 tháng 11 năm 2026. Ghi chú bảo mật của hãng không nhắc đến bản vá cho lỗi thoát sandbox và không gán mã CVE cho worse_query. Ostorlab nói khoảng trống này vẫn mở vì chưa có bản vá xác nhận từ nhà sản xuất. Do chưa có mã CVE, lỗ hổng không nằm trong danh mục lỗ hổng đang bị khai thác của CISA tính đến ngày 10 tháng 11 năm 2026.

Rủi ro ví còn tùy điều kiện

Theo trưởng bộ phận an ninh thông tin của SlowMist, được biết đến với tên 23pds, lỗi này không tự đánh cắp tiền. Một vụ trộm cần hai điều kiện cùng lúc: người dùng cài và chạy ứng dụng độc hại từ ngoài App Store, và ví bị ảnh hưởng lưu seed phrase, tệp keystore hoặc bộ nhớ đệm WebView dưới dạng văn bản thuần trong thư mục truy cập được cục bộ.

Các công cụ dựa trên khai thác này, được lan truyền công khai với tên WQ Files, đã có thể đọc, sửa và xóa tệp của bên thứ ba. Chưa có vụ trộm tiền mã hóa nào qua worse_query được xác nhận tính đến thời điểm bài viết. SlowMist khuyến nghị không sideload IPA, giữ iOS cập nhật, chỉ lưu dữ liệu nhạy cảm ở dạng mã hóa và chuyển tài sản sang ví mới tạo trên thiết bị sạch nếu đã cài ứng dụng không tin cậy.

Apple chưa công bố thông báo hay phiên bản sửa lỗi cho worse_query, theo Ostorlab. Khai thác vẫn hoạt động và mã đã có công khai.