V systému iOS je chyba označovaná jako worse_query, která škodlivé aplikaci dovolí číst soubory jiných aplikací v iPhonu. Kryptoměnová burza Binance na ni 10. listopadu 2026 upozornila své uživatele a podle výzkumníků, kteří ji zveřejnili, není opravená ani v aktuálním iOS 27.2.1. Žádný skutečný útok zatím nikdo nehlásí a aplikaci si do telefonu musí nainstalovat sám majitel. Kdo instaluje jen z App Storu, má riziko malé, ale několik kroků se vyplatí udělat hned.
Co je worse_query a proč na tom záleží
Bezpečnost iPhonu stojí mimo jiné na takzvaném sandboxu. Každá aplikace má vlastní složku a do složek ostatních aplikací se nedostane. Hra tak nevidí data bankovnictví a poznámkový blok nevidí fotky z jiné aplikace, pokud mu je sami nepředáte.
Chyba worse_query tohle oddělení obchází. Výzkumníci vystupující pod přezdívkami 0xjohnny a forcequitOS zveřejnili na GitHubu ukázkový kód, který z běžné aplikace dosáhne do složek s daty ostatních aplikací a do sdílených složek skupin aplikací. Kód navazuje na starší ukázku téhož autora s názvem bad_query.
Sám autor píše, že jde o ukázku pro vývojáře, která sama o sobě nic užitečného nedělá, a že nemá nic společného s jailbreakem. Jiní vývojáři ale kód rychle převzali. Podle webu 9to5Mac už existuje správce souborů, který umí data cizích aplikací číst, měnit i mazat, a to na telefonu bez jailbreaku.
Kterých verzí iOS se chyba týká
Údaje se podle zdroje mírně liší, proto je uvádíme vedle sebe.
Kdo to uvádí | Zasažené verze |
|---|---|
Binance (varování z 10. 11. 2026) | iOS 26.7.1, iOS 27.0.1 a iOS 27.2 |
Autor ukázky na GitHubu | iOS 26.0 až 26.7.2 a iOS 27.2 |
Výzkumník forcequitOS (10. 11. 2026) | neopraveno ani v iOS 27.2.1 a v první betě iOS 27.3 |
Apple vydal iOS 27.2.1 a iOS 26.7.3 v pondělí 9. listopadu 2026. Seznam oprav k iOS 27.2.1 jsme si prošli na webu podpory Applu: je v něm devět položek (AirPlay, App Intents, Bluetooth, brotli, dvakrát CoreUtils, dvakrát Zprávy a rapportd) a o obcházení sandboxu ani o chybě worse_query v něm nic není. Apple se k věci veřejně nevyjádřil a chyba zatím nemá ani číslo CVE.
Jestli chyba funguje také ve starším iOS 18, který dostávají iPhony XS a XR, zdroje neuvádějí.
Jaká data jsou v ohrožení
Ohrožené jsou soubory, které si aplikace ukládají do své složky v telefonu. Binance mluví o obnovovacích frázích (seed), soukromých klíčích kryptoměnových peněženek a přihlašovacích údajích. Sama dodává, že jde o chybu systému, ne její aplikace, a že se týká všech aplikací, které si citlivé údaje ukládají do souborů.
V praxi to mohou být také stažené dokumenty, databáze poznámek, historie konverzací nebo přihlašovací tokeny, pokud je aplikace drží v běžném souboru. Hodně záleží na tom, jak pečlivě vývojář data chrání. Zveřejněný popis chyby se o Klíčence, kam aplikace mají ukládat hesla, nezmiňuje.
Jak by útok vypadal a komu hrozí
Chyba se nedá zneužít na dálku. Útočník potřebuje, abyste si do iPhonu nainstalovali jeho aplikaci a spustili ji. Podle webu The Hacker News, na který se odvolává 9to5Mac, zatím Binance ani výzkumníci nezaznamenali žádný útok ani krádež kryptoměn.
Největší riziko mají lidé, kteří instalují aplikace mimo App Store:
- ručně podepsané soubory IPA a upravené verze placených aplikací nebo her,
- aplikace instalované přes podnikové nebo vývojářské profily z neznámých webů,
- aplikace z málo známých alternativních obchodů a přímo z webu vývojáře, což je v Evropské unii povolené.
Apple u aplikací šířených mimo App Store dělá jen základní kontrolu (notarizaci), která hlídá známý malware. Pravidla App Storu na ně neuplatňuje. Instalace mimo App Store sama o sobě neznamená, že je aplikace škodlivá, ale cest, kudy se škodlivá aplikace do telefonu dostane, je víc.
Co udělat hned
- Projděte si nainstalované aplikace. Vše, co nepochází z App Storu nebo z obchodu, kterému opravdu věříte, smažte. To je hlavní rada Binance.
- Zkontrolujte profily. V Nastavení otevřete Obecné a položku VPN a správa zařízení. Profil, který neznáte a nepochází od zaměstnavatele nebo školy, odstraňte.
- Aktualizujte systém i aplikace. V Nastavení, Obecné, Aktualizace softwaru nainstalujte iOS 27.2.1 nebo iOS 26.7.3. Chybu worse_query to podle výzkumníků neřeší, ale opravuje to devět jiných děr a až Apple opravu vydá, přijde stejnou cestou.
- Neinstalujte teď nic z odkazů ve zprávách a na sociálních sítích. Po zveřejnění podobné chyby se obvykle objeví podvodné aplikace, které slibují „kontrolu telefonu“ nebo „opravu“.
- Máte kryptoměnovou peněženku a podezřelou aplikaci jste měli nainstalovanou? Binance radí přesunout prostředky do nové peněženky vytvořené na čistém zařízení a odhlásit všechna aktivní přihlášení.
- Změňte hesla u důležitých účtů, pokud jste podezřelou aplikaci spouštěli, a zapněte dvoufázové ověření.
Co to znamená pro vaše zařízení
Z pohledu servisu je tahle chyba hlavně připomínka, že iPhone není nezranitelný a že nejvíc problémů si do něj lidé přinesou sami neověřenou aplikací. Telefon, na kterém jsou jen aplikace z App Storu a aktuální systém, kvůli worse_query do servisu nosit nemusíte. Oprava přijde od Applu jako běžná aktualizace a žádný zásah do hardwaru není potřeba.
Jiná situace je u telefonu, na kterém je upravený systém, neznámé profily nebo aplikace, kterých se nejde zbavit. Tam dává smysl zálohovat data a systém obnovit načisto. Softwarové práce (obnova systému) u nás stojí od 220 Kč podle modelu, přesnou částku potvrdíme po diagnostice a ceny pro jednotlivé modely najdete v ceníku oprav.
Druhá věc jsou starší iPhony. Opravu dostanou jen modely, pro které Apple ještě vydává aktualizace. Které to jsou, jsme popsali v článku iOS 27: co přináší a které iPhony ho dostanou. Pokud na starém iPhonu bez podpory máte bankovnictví nebo peněženku, je to důvod zvážit novější model. O tom, jak Apple zasahuje u jiných bezpečnostních problémů, jsme psali u zablokovaných certifikátů eMudhra.
Nejste si jistí, co v telefonu máte, nebo se iPhone chová podivně? Zastavte se u nás na Žižkově v Seifertově 83 nebo se ozvěte přes kontakt, podíváme se na něj.
Časté otázky
Je můj iPhone v ohrožení, když instaluji jen z App Storu? Riziko je malé. Ke zneužití chyby musí být škodlivá aplikace v telefonu a žádný případ, kdy by taková aplikace prošla do App Storu, zatím není znám. Jistotu ale přinese až oprava od Applu.
Pomůže aktualizace na iOS 27.2.1? Chybu worse_query podle výzkumníka forcequitOS neopravuje a Apple ji v seznamu oprav neuvádí. Aktualizaci přesto nainstalujte, opravuje jiné bezpečnostní chyby.
Týká se to i iPadu? Zdroje mluví o iOS. iPadOS s ním sdílí stejný základ a aktualizace vycházejí společně, proto doporučujeme stejnou opatrnost i na iPadu. Potvrzené to ale není.
Kdy Apple chybu opraví? Termín není znám, Apple se nevyjádřil. Autor ukázky slíbil, že v popisu na GitHubu doplní verzi, ve které bude chyba opravená.
Zdroje
- 9to5Mac: Binance warns iPhone crypto holders of security flaw researchers say remains unpatched
- SuperApple: Binance varuje majitele iPhonů. Chyba pouští aplikace k cizím datům
- Jablíčkář: Binance upozorňuje na chybu v iOS, která může ohrozit kryptoměnové peněženky
- GitHub: forcequitOS/worse_query
- Apple: About the security content of iOS 27.2.1 and iPadOS 27.2.1
- Apple: Apple security releases
- Apple: Installing apps through alternative app distribution
