Apple Tambal Celah Privasi Grup iMessage dan Kerentanan Bluetooth

Apple merilis pembaruan untuk menambal dua celah iMessage yang berpotensi membocorkan isi percakapan grup. Satu celah memungkinkan penyerang jarak jauh ikut masuk ke grup chat dan menerima pesannya, satu lagi membuka akses ke pesan yang dikirim sebelum seseorang bergabung.

Pembaruan itu diumumkan Apple pada Senin (9/11) waktu setempat, seperti dilaporkan The Hacker News. Paket yang sama juga menambal kerentanan pada pustaka kompresi Brotli milik Google, yang sudah dimasukkan ke katalog kerentanan dieksploitasi CISA.

Ada sembilan pembaruan sistem operasi yang dirilis. Semuanya membawa perbaikan untuk celah Bluetooth dan AirPlay, sementara perbaikan iMessage hanya tercantum di sebagian pembaruan saja.

Dua Celah iMessage yang Jadi Sorotan

Celah pertama tercatat sebagai CVE-2026-113961. Ini masalah otorisasi yang diperbaiki lewat validasi yang lebih ketat. Dampaknya: penyerang dari jarak jauh bisa bergabung ke sebuah grup chat dan mulai menerima pesan yang beredar di dalamnya.

Celah kedua, CVE-2026-113960, menyangkut riwayat percakapan. Seseorang yang baru ditambahkan ke sebuah grup bisa membaca pesan yang dikirim sebelum ia masuk. Dua-duanya menyentuh lapisan privasi yang selama ini dianggap aman oleh pengguna iMessage.

Catatan keamanan Apple tidak menyebut apakah kedua celah sudah dieksploitasi di lapangan. Perusahaan juga tidak merinci apa yang dibutuhkan penyerang untuk memanfaatkannya.

Sejumlah pertanyaan penting lain juga dibiarkan terbuka. Apple tidak menjelaskan apakah anggota grup akan melihat sosok yang bergabung lewat celah itu, maupun apakah semua anggota harus memperbarui perangkat agar terlindungi.

Detail teknis yang minim ini membuat pengguna sulit menilai tingkat risikonya sendiri. Yang jelas, perbaikan hanya tersedia di sebagian jalur pembaruan.

Pembaruan Mana yang Membawa Perbaikan

Apple merilis pembaruan terpisah untuk tiap versi sistem operasi. Advisori keamanan iOS dan iPadOS 27.2.1 memuat keterangan ketiga celah sekaligus: dua iMessage dan satu Brotli.

Daftar rilis keamanan Apple menyediakan tautan ke catatan untuk setiap pembaruan. Namun tidak semua catatan menyebut perbaikan yang sama.

• iOS dan iPadOS 27.2.1: memuat keterangan dua celah iMessage dan celah Brotli.
• iOS 18.7.12: mencantumkan perbaikan keamanan lain, tanpa iMessage dan Brotli.
• watchOS 26.6.1: sama, mencantumkan perbaikan lain tanpa kedua jenis celah tersebut.
• Pembaruan untuk iPhone XS, XS Max, XR, iPad generasi ketujuh, dan sejumlah model Apple Watch: tidak mencantumkan perbaikan iMessage maupun Brotli.

Apple tidak menyatakan apakah perangkat yang masih berjalan di versi-versi tersebut terdampak oleh ketiga celah itu. Catatan perusahaan juga tidak menawarkan jalan keluar bagi pengguna yang belum bisa memperbarui perangkatnya.

Ketiadaan solusi sementara ini jadi catatan tersendiri. Pengguna perangkat lama yang tidak lagi menerima pembaruan lengkap berada di posisi paling rentan.

Kerentanan Brotli dan Katalog CISA

Celah Brotli tercatat sebagai CVE-2026-111497. Ini masalah out-of-bounds write pada dekoder pustaka tersebut, yang bisa membuat masukan berbahaya menimpa memori dan merusaknya.

Catatan Apple tidak menyebut adanya serangan yang memanfaatkan celah ini. Meski begitu, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) sudah memasukkannya ke katalog Known Exploited Vulnerabilities pada 27 Oktober.

Artinya, celah ini sudah terbukti dipakai di dunia nyata. Entri katalog CISA menyebut Brotli milik Google sebagai produk terdampak, sekaligus mencatat bahwa komponen ini dipakai banyak produk lain.

Brotli adalah pustaka kompresi yang dipakai luas untuk mempercepat pengiriman data di web. Karena sifatnya sebagai komponen bersama, dampak satu celah bisa merembet ke berbagai layanan yang menggunakannya.

Bluetooth dan AirPlay Ikut Ditambal

Seluruh sembilan pembaruan membawa perbaikan untuk celah Bluetooth dan AirPlay. Dua di antaranya berkaitan dengan proses pairing alias penyandingan perangkat.

Celah tersebut memungkinkan perangkat Bluetooth berbahaya, atau penyerang dalam jangkauan sinyal Bluetooth, menyandingkan diri dengan perangkat korban tanpa interaksi apa pun dari pengguna.

Catatan Apple tidak menjelaskan apa yang bisa dilakukan perangkat yang sudah tersambung lewat cara itu. Ini celah informasi yang cukup mengganggu, karena penyandingan tanpa persetujuan biasanya membuka jalan bagi akses yang lebih luas.

Dua celah lain memungkinkan penyerang melewati batas percobaan kode penyandingan. Satu bisa dilakukan dari jangkauan Bluetooth, satu lagi dari jaringan yang sama.

Ada pula celah yang memungkinkan penyerang dalam jangkauan Bluetooth merusak memori proses. Kombinasi seluruh celah ini menempatkan Bluetooth sebagai permukaan serangan yang paling ramai di paket pembaruan kali ini.

Dampak bagi Pengguna dan Langkah Berikutnya

Bagi pengguna biasa, prioritasnya jelas: periksa versi sistem operasi dan pasang pembaruan yang tersedia. Pengguna iOS dan iPadOS sebaiknya memastikan perangkat sudah berada di 27.2.1 untuk mendapatkan perbaikan iMessage dan Brotli sekaligus.

Pemilik perangkat yang hanya menerima iOS 18.7.12 atau watchOS 26.6.1 perlu waspada. Catatan pembaruan mereka tidak memuat perbaikan iMessage maupun Brotli, dan Apple belum memastikan status kerentanan di versi tersebut.

Untuk sementara, pengguna bisa mengurangi risiko dengan tidak menerima undangan grup chat dari pengirim tak dikenal. Menonaktifkan Bluetooth saat tidak dipakai juga masuk akal, mengingat banyaknya celah penyandingan yang ditambal di rilis ini.

Yang ditunggu berikutnya adalah keterangan resmi Apple soal cakupan dampak, termasuk apakah perangkat yang tidak menerima pembaruan penuh tetap rentan. Sampai itu keluar, pengguna hanya bisa berpegang pada catatan keamanan yang ada.

Analisis Redaksi

Ada pola yang berulang di rilis ini: Apple memperbaiki celah, tetapi tidak memberi gambaran utuh soal risikonya. Catatan keamanan yang minim detail memang lazim di industri, tetapi untuk celah yang menyentuh privasi percakapan grup, keheningan itu merugikan pengguna.

Pertanyaan paling mendasar, apakah semua anggota grup harus memperbarui agar terlindungi, dibiarkan tanpa jawaban. Padahal jawaban itu menentukan apakah satu pengguna yang telat memperbarui bisa membuka celah bagi seluruh grup. Apple seharusnya tidak membiarkan penggunanya menebak-nebak soal hal seperti ini.

Kasus Brotli menunjukkan sisi lain yang lebih luas. Komponen kompresi yang dipakai bersama oleh banyak produk bisa menjadi titik lemah yang menyebar, dan masuknya celah ini ke katalog CISA menegaskan bahwa eksploitasi sudah terjadi. Perbaikan di tingkat sistem operasi Apple hanya menutup satu pintu, sementara produk lain yang memakai Brotli harus bergerak sendiri.

Yang paling perlu disorot justru perangkat lama. Pembaruan untuk iPhone XS, XS Max, XR, dan iPad generasi ketujuh tidak mencantumkan perbaikan iMessage maupun Brotli, tanpa penjelasan apakah perangkat itu terdampak. Pengguna yang tidak bisa memperbarui perangkatnya kini berada di posisi paling tidak pasti, dan ketidakpastian itu sendiri sudah menjadi masalah keamanan.

Sumber: cisa.gov