Sebuah celah keamanan lolos sandbox iOS yang dipublikasikan di platform GitHub memungkinkan sebuah aplikasi membaca berkas milik aplikasi lain pada perangkat iPhone berbasis iOS 26 dan iOS 27. Kondisi ini membuat seed phrase, private key, serta kredensial masuk berisiko diakses oleh aplikasi jahat, demikian peringatan yang disampaikan Binance hari ini. Pembaruan terkini Apple untuk iOS 26 dan 27 yang digulirkan kemarin belum mencantumkan perbaikan terkait celah tersebut.
Seorang peneliti keamanan siber dengan nama samaran forcequit membagikan eksploit bernama worse_query ini pada hari Minggu, persis satu hari sebelum pembaruan sistem operasi tersebut resmi meluncur. Kendati demikian, baik pihak bursa kripto tersebut maupun sang peneliti belum melaporkan adanya serangan langsung ataupun aksi pencurian dana yang memanfaatkan celah ini.
Pihak bursa secara resmi mengimbau para pengguna untuk segera menghapus aplikasi apa pun yang dipasang dari sumber tidak terpercaya, seperti aplikasi hasil sideloading atau yang ditandatangani manual, sekaligus menyarankan pembaruan iOS dan seluruh aplikasi secara menyeluruh. Hingga kini, belum ada kepastian mengenai solusi resmi untuk mengatasi kebocoran sandbox tersebut.
Bagi siapa saja yang mencurigai adanya indikasi peretasan, dokumen peringatan keamanan bursa menyarankan pemindahan seluruh saldo aset ke alamat dompet baru yang dibuat menggunakan perangkat steril serta memutus dan mereset semua sesi login yang sedang aktif.
Kode bukti konsep milik sang peneliti mampu menembus kontainer data dari setiap aplikasi di dalam iPhone, termasuk beberapa folder sistem di iOS 27. Dalam penerapannya, sebuah aplikasi harus mengonfigurasi kontainer App Group terlebih dahulu untuk dapat mengoperasikannya.
Peneliti tersebut menyatakan bahwa kode ini sebenarnya diperuntukkan bagi kalangan pengembang dan "tidak berguna dengan sendirinya." Meski begitu, sejumlah pengembang lain telah memanfaatkannya untuk merancang aplikasi siap pakai yang kini dapat dipasang bebas oleh pengguna umum.
Salah satu hasil pengembangannya adalah WQ Files, sebuah pengelola berkas yang dibangun oleh pengembang Christoph Kolbicz berbasis worse_query. Perangkat lunak ini sanggup menjangkau data aplikasi lain tanpa memerlukan proses jailbreak atau exploit kernel, bahkan memiliki kemampuan menyunting, menghapus, serta membersihkan data tersebut.
WQ Files dipasang menggunakan sarana sideloading populer seperti AltStore serta SideStore, yang secara otomatis membentuk konfigurasi App Group yang diperlukan ketika dipadukan dengan akun Apple ID. Hingga saat ini, belum ada konfirmasi apakah aplikasi resmi dari App Store juga sanggup memanfaatkan celah worse_query ini.
Tiga varian versi yang dirinci dalam surat peringatan Binance merupakan daftar yang tercatat telah teruji pada catatan rilis WQ Files. Namun, sang peneliti sendiri memperkirakan cakupan versi yang terdampak sebenarnya jauh lebih luas.
Dari seluruh sumber terkait, hanya tim pengembang Erosion yang mencantumkan iOS 27.2.1 yang meluncur kemarin, sementara tak satu pun menyebut iOS 26.7.3. Mereka mencantumkan iOS 27.2.1 pekan ini lewat perubahan catatan README dengan keterangan bertuliskan "pretty sure 27.2.1 is supported".
Pembaruan kemarin, yakni iOS 27.2.1 dan iOS 26.7.3, menambal dua kelemahan pada iMessage beserta beberapa gangguan Bluetooth. Catatan keamanan untuk iOS 27.2.1 sama sekali tidak menyinggung worse_query atau kendala sandbox apa pun, begitu pula ringkasan iOS 26.7.3. Catatan tersebut menegaskan bahwa pihak Apple tidak mengungkap, membahas, maupun memverifikasi isu keamanan sebelum penyelidikan tuntas serta perbaikan resmi telah dipersiapkan sepenuhnya.
Melalui tanggapannya di platform X, peneliti tersebut mengaku awalnya tidak berniat meluncurkan worse_query secepat ini. Dirinya menambahkan bahwa "Apple was stalling on responding to me and people started larping with it on here."
Pihak bursa tidak menyebutkan aplikasi dompet kripto tertentu yang menjadi sasaran, begitu pula halnya dengan sang peneliti maupun para pengembang aplikasi turunan worse_query.