Sebuah celah pembobol sandbox iOS yang diunggah ke platform GitHub memungkinkan suatu aplikasi membaca berkas milik aplikasi lain pada perangkat iPhone yang menjalankan iOS 26 dan iOS 27. Kondisi ini membuat seed phrase, private key, hingga kredensial login berisiko terekspos ke aplikasi berbahaya, demikian peringatan resmi yang dikeluarkan Binance hari ini. Pembaruan sistem Apple untuk iOS 26 dan iOS 27 yang diluncurkan kemarin tidak mencantumkan perbaikan terkait masalah tersebut.
Seorang peneliti keamanan siber dengan nama samaran forcequit mempublikasikan eksploitasi tersebut, yang dinamai worse_query, pada hari Minggu, tepat sehari sebelum Apple meluncurkan pembaruan perangkat lunaknya. Sejauh ini, baik pihak bursa kripto tersebut maupun sang peneliti belum melaporkan adanya serangan langsung atau insiden pencurian dana yang memanfaatkan celah ini.
Pihak bursa mengimbau para pengguna untuk segera menghapus aplikasi apa pun yang dipasang dari sumber tidak terpercaya, seperti aplikasi hasil sideloading atau yang ditandatangani secara manual, serta mendesak pembaruan sistem iOS dan semua aplikasi terpasang. Hingga kini, belum ada konfirmasi resmi mengenai tambalan untuk kerentanan tersebut.
Bagi siapa pun yang mencurigai adanya pelanggaran keamanan, peringatan keselamatan dari bursa tersebut menyarankan pengguna untuk segera memindahkan seluruh dana ke dompet kripto baru yang dibuat pada perangkat bersih, serta menyetel ulang semua sesi login akun yang masih aktif.
Kode bukti konsep milik peneliti tersebut sanggup mengakses wadah data dari setiap aplikasi di dalam iPhone, sekaligus sejumlah folder sistem pada iOS 27. Agar kode dapat berjalan, sebuah aplikasi harus menyiapkan wadah yang disebut App Group.
Peneliti tersebut menyatakan bahwa kode rancangannya ditujukan khusus bagi pengembang dan "tidak berguna dengan sendirinya." Meski demikian, para pengembang lain telah membangun beberapa aplikasi berbasis celah itu yang kini dapat diunduh dan dipasang oleh pengguna umum.
Salah satu aplikasi tersebut adalah WQ Files, sebuah pengelola berkas yang dirancang oleh pengembang Christoph Kolbicz menggunakan basis worse_query. Aplikasi ini dapat menjangkau data aplikasi lain tanpa memerlukan proses jailbreak atau eksploitasi kernel, serta mampu mengedit, menghapus, dan membersihkan data-data tersebut.
WQ Files dipasang melalui sarana sideloading seperti AltStore dan SideStore, yang secara otomatis membentuk konfigurasi App Group yang diperlukan saat digunakan bersama Apple ID. Belum ada pihak terkait yang menjelaskan apakah aplikasi resmi dari App Store berpotensi memanfaatkan celah worse_query ini.
Tiga varian versi yang dimuat dalam peringatan pihak bursa merupakan versi yang tercantum sebagai hasil uji coba dalam catatan rilis WQ Files. Sementara itu, sang peneliti menyebutkan cakupan versi yang jauh lebih luas.
Dari seluruh sumber tersebut, hanya pengembang proyek Erosion yang mencantumkan iOS 27.2.1, yang baru saja meluncur kemarin, dan tidak ada satu pun yang mendaftar iOS 26.7.3. Mereka memasukkan iOS 27.2.1 pekan ini lewat perubahan catatan README dengan keterangan "pretty sure 27.2.1 is supported".
Pembaruan sistem kemarin, yakni iOS 27.2.1 dan iOS 26.7.3, menambal dua celah keamanan iMessage serta sejumlah gangguan sistem pada Bluetooth. Catatan keamanan pembaruan iOS 27.2.1 sama sekali tidak menyinggung worse_query ataupun persoalan sandbox, begitu juga catatan pada iOS 26.7.3. Dokumen catatan tersebut kembali menegaskan bahwa Apple tidak mengungkap, mendiskusikan, atau mengonfirmasi masalah keamanan sampai penyelidikan selesai dilakukan dan perbaikan telah resmi tersedia.
Dalam sebuah tanggapan di platform X, sang peneliti mengungkapkan bahwa ia sebenarnya tidak berniat meluncurkan worse_query lebih awal. Ia menambahkan alasan bahwa "Apple was stalling on responding to me and people started larping with it on here."
Pihak bursa kripto tidak menyebutkan secara spesifik aplikasi dompet mana yang terdampak celah ini, begitu pula sang peneliti maupun jajaran pengembang yang merancang aplikasi menggunakan basis worse_query.
