Apple ได้ปล่อยอัปเดตความปลอดภัยฉุกเฉินสำหรับไอโฟนและไอแพดหลังจากแก้ไขช่องโหว่ของบริการการแจ้งเตือน (Notification Services) ที่อาจทำให้การแจ้งเตือนที่ถูกลบยังคงถูกเก็บไว้บนอุปกรณ์นานกว่าที่คาด — ช่องโหว่นี้อาจเปิดเผยเนื้อหาจากแอปส่งข้อความที่เข้ารหัสอย่างซิกนัล

อัปเดตนอกรอบ

บั๊กซึ่งถูกติดตามภายใต้หมายเลข CVE-2026-28950 ถูกแพตช์เมื่อวันที่ 22 เมษายน ใน iOS 26.4.2 และ iPadOS 26.4.2 รวมถึง iOS 18.7.8 และ iPadOS 18.7.8 ในประกาศด้านความปลอดภัยของ Apple ระบุเพียงว่า “การแจ้งเตือนที่ถูกระบุว่าให้ลบอาจถูกเก็บไว้บนอุปกรณ์โดยไม่คาดคิด” และแจ้งว่าปัญหานี้ได้รับการแก้ไขด้วยการปรับปรุงการปกปิดข้อมูล

Apple ไม่ได้ระบุว่าช่องโหว่นี้เคยถูกใช้ในการโจมตีหรือไม่ เหตุใดจึงต้องจัดการนอกวงรอบการอัปเดตปกติของบริษัท หรือว่าข้อมูลการแจ้งเตือนอาจเข้าถึงได้นานเท่าใด บริษัทก็ไม่ได้อธิบายว่าข้อมูลที่ถูกเก็บไว้นั้นอาจกู้คืนได้อย่างไร

ช่วงเวลาที่แพตช์ออกมานั้นเกิดขึ้นหลังจากรายงานจาก 404 มีเดีย (404 Media) อธิบายกรณีที่เอฟบีไอสามารถกู้ข้อความจากซิกนัลบนไอโฟนของผู้ต้องสงสัยได้ แม้ข้อความจะถูกลบในแอปไปแล้ว ตามบันทึกการพิจารณาคดีที่เผยแพร่โดยผู้สนับสนุนจำเลย ข้อความเหล่านั้นไม่ได้ถูกดึงจากที่เก็บข้อความที่เข้ารหัสของซิกนัล แต่กลับถูกกู้คืนจากการจัดเก็บการแจ้งเตือนของไอโฟน ซึ่งการแจ้งเตือนที่เข้ามาถูกกล่าวว่าเก็บไว้ในหน่วยความจำภายในแม้ซิกนัลจะถูกลบไปแล้วก็ตาม

คำแนะนำของ Apple ไม่ได้กล่าวถึงกรณีนั้นโดยตรง แต่คำอธิบายเกี่ยวกับการที่การแจ้งเตือนยังคงอยู่บนอุปกรณ์มีความสอดคล้องกับประเภทของการคงอยู่ที่อธิบายไว้ในรายงาน

ซิกนัลภายหลังได้ขอบคุณ Apple สำหรับการดำเนินการอย่างรวดเร็ว “เรารู้สึกขอบคุณต่อ Apple สำหรับการกระทำอย่างรวดเร็วในที่นี้ และสำหรับความเข้าใจและการดำเนินการต่อสิ่งที่เสี่ยงจากปัญหาประเภทนี้ การรักษาสิทธิขั้นพื้นฐานของมนุษย์ในการสื่อสารส่วนตัวต้องอาศัยระบบนิเวศทั้งหมด” บริษัทกล่าวในแถลงการณ์สาธารณะ

ผู้ใช้ถูกเรียกร้องให้ติดตั้งอัปเดตล่าสุดโดยเร็วที่สุด ซิกนัลยังระบุด้วยว่าผู้ใช้สามารถลดโอกาสที่เนื้อหาข้อความจะถูกจัดเก็บในข้อมูลการแจ้งเตือนของ iOS ได้โดยเปลี่ยนการตั้งค่า: การตั้งค่าของซิกนัล > การแจ้งเตือน > เนื้อหาการแจ้งเตือน เป็น “แสดงชื่อเท่านั้น” หรือ “ไม่แสดงชื่อหรือเนื้อหา”

BleepingComputer ระบุว่าได้ติดต่อขอความเห็นจาก Apple แต่ยังไม่ได้รับคำตอบ

แหล่งที่มา:

บลีปปิงคอมพิวเตอร์.com