Суть проблемы
В iOS существовала уязвимость: удалённые push‑уведомления сохранялись в локальном хранилище устройства. Это позволяло получить доступ к их содержимому даже после удаления.
Как это работало:
- Push‑уведомление приходит на устройство и отображается пользователю.
- Пользователь удаляет уведомление (смахнул или нажал «Очистить»).
- По идее, данные должны были полностью удалиться из системы.
- Из‑за ошибки в базе данных уведомлений часть данных (например, заголовок, текст, идентификатор сообщения) оставалась в локальном хранилище.
- К этим «теневым» данным можно было получить доступ с помощью специальных инструментов.
Кто и как использовал уязвимость
По данным издания 404 Media, уязвимостью воспользовалось ФБР. Конкретно:
- Агентство использовало специальный инструмент для извлечения данных.
- В фокусе были уведомления от мессенджера Signal — даже после удаления они оставались в системе.
- Это позволяло обойти политику Apple: с 2023 года компания требует судебный ордер для предоставления данных об уведомлениях. Уязвимость давала доступ без официального запроса.
Реакция заинтересованных сторон
- Signal (Мередит Уитакер, гендиректор):
- подтвердила проблему;
- призвала Apple решить её;
- рекомендовала пользователям временно изменить настройки уведомлений Signal — отключить отображение названия мессенджера и содержания сообщений в push‑уведомлениях.
- Electronic Frontier Foundation (EFF):
- указал на два потенциальных риска для конфиденциальности уведомлений: в облаке (метаданные на серверах) и локально (на устройстве);
- поддержал исправление уязвимости.
- Apple:
- выпустила обновление iOS 26.4.2;
- в примечаниях к обновлению прямо указала на устранение проблемы с неожиданным сохранением уведомлений.
- Signal (после выхода обновления):
- выразила радость по поводу исправления и поблагодарила Apple.
Что исправило обновление iOS 26.4.2
В iOS 26.4.2 улучшена функция редактирования данных в базе уведомлений. Теперь:
- уведомления, помеченные для удаления, полностью стираются из локального хранилища;
- доступ к «теневым» копиям данных становится невозможным.
На каких устройствах доступно обновление
Обновление iOS 26.4.2 доступно для:
- iPhone 11 и более поздних моделей;
- iPad Pro 12,9″ (3‑го поколения и новее);
- iPad Pro 11″ (1‑го поколения и новее);
- iPad Air (3‑го поколения и новее);
- iPad (8‑го поколения и новее);
- iPad mini (5‑го поколения и новее).
Рекомендации пользователям
Даже после установки обновления стоит задуматься о дополнительной защите конфиденциальности:
- Ограничьте содержимое уведомлений:
- зайдите в «Настройки» → «Уведомления»;
- для чувствительных приложений (мессенджеры, банки) выберите «Показывать только заголовок» или «Скрыть содержимое».
- Отключите уведомления для некритичных приложений — чем меньше уведомлений, тем меньше потенциальных данных для утечки.
- Регулярно обновляйте iOS — Apple оперативно закрывает подобные уязвимости.
- Используйте Face ID/Touch ID для блокировки экрана — это усложнит физический доступ к устройству и его данным.
Краткий итог: Apple закрыла серьёзную уязвимость, позволявшую получать доступ к удалённым уведомлениям. Установка iOS 26.4.2 обязательна для всех пользователей указанных устройств. Для максимальной защиты стоит дополнительно настроить видимость уведомлений в настройках системы и приложений.
