Патч нулевого дня в macOS 26.7.1 и 15.8.1 и обновление 27.0.1: руководство

28 сентября 2026 года Apple в один день выпустила три обновления для Mac: macOS Golden Gate 27.0.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. В двух из них есть исправление, которое важнее, чем можно судить по номерам версий. В заметках о безопасности macOS Tahoe 26.7.1 и Sequoia 15.8.1 описана одна ошибка в CoreGraphics, CVE-2026-86950, и Apple сообщает, что ей известно о сообщении, согласно которому уязвимость «могла эксплуатироваться в крайне сложной атаке на конкретных целевых лиц». У третьего обновления, 27.0.1, опубликованных записей CVE нет вовсе. Так какое из трёх обновлений вам действительно нужно? Это зависит от того, какой у вас Mac и какая macOS на нём работает сейчас, а ответ для Mac, застрявшего на Sonoma, неприятен. В этом руководстве всё разобрано по моделям: что это за уязвимость, что фраза вроде «целевые лица» означает для обычного пользователя и как установить нужное обновление, случайно не перейдя на macOS 27.

Главное

• Macs с Tahoe и Sequoia стоит обновить сейчас. macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1 исправляют CVE-2026-86950, запись за границами буфера в CoreGraphics, которая может привести к выполнению произвольного кода при обработке специально созданного файла. Собственные страницы Apple: 149228 для Tahoe и 149229 для Sequoia.
• Сообщение об эксплуатации относится к iOS, и оно узкое. Формулировка Apple такова: проблема «могла эксплуатироваться в крайне сложной атаке на конкретных целевых лиц в версиях iOS до iOS 27». Apple не утверждает, что атаковали macOS, но та же ошибка была и в коде macOS, поэтому исправление выпущено.
• macOS 27.0.1 — это выпуск с исправлением ошибок, а не обновление безопасности. У Apple он значится без опубликованных записей CVE. Комментаторы, изучившие список Apple, сообщают, что Golden Gate, судя по всему, уязвимости CoreGraphics не подвержена.
• Mac на Intel и Mac на Sonoma — неудобные случаи. Mac на Intel не могут работать под macOS 27, поэтому единственный путь для них — 26.7.1 (четыре модели на Intel) или 15.8.1 (остальные). Для Sonoma 28 сентября Apple ничего не опубликовала; последний выпуск Sonoma на странице безопасности Apple — 14.8.9 от 6 августа.
• На Mac с Tahoe нажимайте «Обновить сейчас» рядом с записью 26.7.1, а не кнопку перехода на новую версию. «Обновление ПО» на Mac с Tahoe показывает и 26.7.1, и 27.0.1, и неосторожный щелчок или неосторожная команда с --recommended могут перевести вас на macOS 27.
• Номер сборки 27.0.1 в прессе расходится, но собственный каталог Apple ставит точку. 9to5Mac указал 26A5434; каталог обновлений на Mac с Tahoe показывает 26A434, как и ещё четыре источника.

Что Apple на самом деле выпустила 28 сентября

На странице выпусков безопасности Apple значится восемь пунктов от 28 сентября 2026 года: выпуски 27.0.1 для iOS, iPadOS, macOS, watchOS и visionOS, а также iOS и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Что касается выпусков для Mac:

Выпуск	Что говорит Apple	Записи CVE
macOS Golden Gate 27.0.1	Исправления ошибок; одно исправление Platform SSO в корпоративных заметках	Не опубликованы
macOS Tahoe 26.7.1	Запись за границами буфера в CoreGraphics	CVE-2026-86950
macOS Sequoia 15.8.1	Запись за границами буфера в CoreGraphics	CVE-2026-86950

Две записи о безопасности совпадают слово в слово. Описание Apple гласит: «Обработка специально созданного файла может привести к выполнению произвольного кода», а исправление описано так: «проблема записи за границами буфера устранена улучшенной проверкой границ». Автор находки — Meta Product Security. Тот же CVE закрыт и в iOS и iPadOS 26.7.1, о чём The Hacker News сообщил в день выпуска.

Оборот получился быстрым. Крупные накопительные выпуски, Tahoe 26.7 и Sequoia 15.8, вышли всего двумя неделями раньше, 14 сентября, одновременно с macOS 27, а ситуацию первого дня мы разбирали в нашем руководстве по обновлению в день выхода. Затем Apple провела 26.7.1 и 15.8.1 через релиз-кандидаты; сайты о Mac сообщали о втором релиз-кандидате Sequoia 15.8.1 21 сентября. Значит, исправление тестировалось примерно неделю, прежде чем стало публичным. На страницах Apple нет ничего о том, когда была впервые замечена сама атака, и, как отметил The Hacker News, Apple не привела данных о том, сколько человек стали целями и сколько попыток удались.

Ошибка: что делает CoreGraphics и что означает запись за пределами буфера

CoreGraphics — это графический фреймворк, на котором держится значительная часть того, что Mac показывает на экране. Он отображает страницы PDF, декодирует и рисует изображения, выводит векторную графику, а во множестве приложений отвечает за шрифты и цвет. «Просмотр», Safari, окно сообщения в Mail, Quick Look и сторонние редакторы обращаются к нему напрямую или через другие системные фреймворки. Поэтому он — излюбленная цель: атакующим не нужно, чтобы вы что-то устанавливали, достаточно подсунуть файл коду, который его разбирает.

Запись за границами буфера — это ошибка безопасности памяти. Программа выделяет блок памяти определённого размера, а затем из-за неправильно проверенной длины или индекса записывает данные за конец этого блока. Лишние байты попадают в соседнюю область памяти. В умелых руках такую перезапись можно направить так, чтобы изменить состояние программы и в итоге выполнить код, выбранный атакующим. Формулировка Apple о последствиях, «выполнение произвольного кода», — стандартное обозначение такого исхода. Исправление таково, как сказано в описании Apple: добавлена недостающая проверка границ, чтобы запись больше не выходила за пределы буфера.

Три ограничения того, что нам известно:

Apple не сказала, как файл попадает на Mac. В описании последствий говорится об обработке «специально созданного файла». Не сказано, идёт ли речь об изображении в сообщении, PDF, веб-странице или чём-то ещё, и не сказано, должен ли пользователь его открыть. Один новостной сайт утверждал, что дополнительных действий пользователя может не требоваться; другие материалы так далеко не заходят, а страницы Apple об этом молчат. Оба утверждения следует считать неподтверждёнными.

Apple не опубликовала оценку серьёзности. Агрегаторы могут показывать число CVSS, но в заметках Apple о безопасности его нет, так что любое встреченное вами число — это оценка третьей стороны.

Сообщение об эксплуатации привязано к iOS. Фраза Apple заканчивается словами «в версиях iOS до iOS 27». Нигде на страницах Sequoia или Tahoe не сказано, что атаковали Mac. Разумное прочтение таково: уязвимый код есть и в выпусках для Mac. Это прочтение, а не то, что Apple заявила.

Help Net Security отметил, что iOS 27.0.1, iPadOS 27.0.1 и macOS Golden Gate 27.0.1 вышли без опубликованных уязвимостей с номерами CVE и, судя по всему, не затронуты. Это вывод из списка выпусков Apple, а не заявление самой Apple, но он согласуется с тем, что исправление внесли в ветку 27 ещё до выпуска.

Что означает «конкретные целевые лица» для обычных пользователей

Apple использует именно эту фразу об эксплуатируемых ошибках уже много лет. Она описывает коммерческое шпионское ПО и подобные инструменты: дорогие, строго контролируемые, применяемые против журналистов, политиков, юристов, диссидентов, руководителей и других людей, за которыми у кого-то есть причина следить. Такие инструменты дороги в разработке и легко «сгорают», поэтому их операторы тщательно выбирают, кому их применять.

Это важно для того, насколько вам стоит беспокоиться, и не важно для того, нужно ли обновляться.

Причины для некоторого спокойствия реальны. Инструменты такого рода не распространяются массовым фишингом, и формулировка Apple не указывает на широкие атаки. Для человека без необычного профиля шансы пострадать до выхода патча были очень малы.

Причины всё равно обновиться так же реальны, и TidBITS высказался прямо: установите обновление CoreGraphics в течение нескольких дней, даже если вы не относитесь к целевым лицам. Как только Apple публикует описание, пусть даже туманное, ошибку становится гораздо проще искать другим. TidBITS добавляет, что теперь разработчикам проще поручить ИИ поиск этой или похожей ошибки. Окно, в котором о дефекте знали лишь немногие, закрывается в день выхода патча, а после этого дефект превращается в старую, задокументированную, исправимую проблему, которую несёт каждый необновлённый Mac. К тому же обновление обойдётся вам в час времени и один перезапуск. Ошибиться с мыслью «это будет не я» можно гораздо дороже.

Затронут ли мой Mac: что можно проверить, а что нельзя

Надёжного потребительского теста на этот эксплойт нет. Пропатченный Mac не покажет строку журнала о том, что он был скомпрометирован ранее, а всему, что вы найдёте в сообщениях на форумах о якобы обнаружении, следует относиться скептически. Вместо этого два практических замечания:

• Apple сообщает, что уведомляет людей, которых считает целями наёмного шпионского ПО, через учётную запись Apple. Если вы никогда не получали такого уведомления, это слегка успокаивает, но не служит доказательством.
• Если у вас есть конкретная причина опасаться целевой атаки, например вы журналист, активист или находитесь в споре с обладателем больших ресурсов, обновитесь, включите режим блокировки (о нём ниже) и обратитесь в организацию по цифровой безопасности, а не пытайтесь самостоятельно проводить криминалистический анализ Mac.

Какое обновление нужно вашему Mac

Всё решают два вопроса: какая macOS работает сейчас и какая самая новая macOS подходит вашему Mac. Меню Apple, затем «Об этом Mac» показывает и название macOS, и модель Mac. macOS Golden Gate 27 ограничена процессорами Apple silicon, поэтому второй вопрос важен в основном владельцам Mac на Intel.

По текущей версии macOS

Что у вас установлено	Затронуто CVE-2026-86950?	Что устанавливать	Примечания
macOS Golden Gate 27.0	Apple не указывает	27.0.1, когда будет удобно	Исправления ошибок; записей CVE нет. Не срочная угроза безопасности.
macOS Tahoe 26.x (26.7 или ранее)	Да, Apple указывает Tahoe	26.7.1 или переход на 27.0.1, если ваш Mac поддерживает	Оба варианта закрывают уязвимость.
macOS Sequoia 15.x (15.8 или ранее)	Да, Apple указывает Sequoia	15.8.1 или переход на Tahoe либо 27, если поддерживается	То же исправление, что и в Tahoe.
macOS Sonoma 14.x	Apple ничего не опубликовала	Для Sonoma ничего нет	Перейдите на Sequoia или новее.
macOS Ventura или старше	Apple ничего не опубликовала	Ничего нет	Давно вышла из периода поддержки.

На странице выпусков безопасности Apple последней записью для Sonoma значится 14.8.9 от 6 августа 2026 года, а выпусков Sonoma 14 и 28 сентября нет. Страницы Apple о Tahoe и Sequoia указывают «Доступность: macOS Tahoe» и «Доступность: macOS Sequoia» соответственно и Sonoma не упоминают. Мы не знаем, есть ли эта ошибка в коде Sonoma. Apple об этом не говорит, а исправление так и не выпустила, поэтому Mac на Sonoma здесь остаётся без патча в единственном значимом смысле: обновления не существует. О том, что делать, рассказывает наше руководство по окончанию обновлений безопасности Sonoma, а если коротко: если ваш Mac может работать под Sequoia или новее, обновляйтесь.

По модели Mac

Для большинства людей доступное обновление определяет модель. На странице совместимости Tahoe Apple перечислены Mac, способные работать под macOS Tahoe. Среди машин на Intel там всего четыре:

• MacBook Pro (16 дюймов, 2019)
• MacBook Pro (13 дюймов, 2020, четыре порта Thunderbolt 3)
• iMac (Retina 5K, 27 дюймов, 2020)
• Mac Pro (2019)

Все остальные Mac на этой странице работают на Apple silicon. Более широкую картину объясняет наш окончательный список совместимости для Intel, а Mac на Apple silicon с 2020 года выпуска и новее тоже могут работать под macOS 27.

Mac	Новейшая macOS, которую он поддерживает	Ваша целевая версия с патчем
Mac на Apple silicon (M1 или новее, либо MacBook Neo с A18 Pro)	macOS 27 Golden Gate	27.0.1 или 26.7.1, если вы остаётесь на Tahoe
Четыре Mac на Intel, перечисленные выше	macOS Tahoe 26	26.7.1 (последняя macOS для этих Mac)
Другие Mac на Intel, работающие под Sequoia	macOS Sequoia 15	15.8.1
Mac на Intel, застрявшие на Sonoma (MacBook Air 2018 и 2019 годов)	macOS Sonoma 14	Исправления нет; варианты описаны в руководстве по Sonoma

Для Mac на Intel с Sequoia, который мог бы перейти на Tahoe, есть небольшой выбор: Sequoia 15.8.1 закрывает эту ошибку и остаётся поддерживаемой примерно год, а Tahoe даст около двух. Такую арифметику приводила наша статья о Sonoma, и она остаётся в силе. Mac на Intel вообще не могут работать под macOS 27, поэтому Tahoe — их потолок, а каждый выпуск безопасности Tahoe — единственный путь к пропатченному Mac.

Вопрос об Apple silicon: остаться на Tahoe или перейти на 27?

У Mac на Apple silicon с Tahoe есть настоящий выбор. Предлагаются и 26.7.1, и macOS 27.0.1, и оба закрывают этот CVE. Довод в пользу перехода на 27 с точки зрения безопасности — более длинный срок поддержки. Довод в пользу того, чтобы остаться, — стабильность: macOS 27 вышла 14 сентября, а первые две недели любого крупного выпуска порождают больше всего сообщений об ошибках. Если ваша работа зависит от конкретного приложения, драйвера или настройки Mission Control, нет ничего плохого в том, чтобы поставить 26.7.1 сейчас и вернуться к 27 позже. Наша статья о проблемах Mission Control и Spaces в macOS 27 перечисляет то, о чём сообщают пользователи, и её стоит пролистать перед переходом.

Чего делать не следует — ждать, пока macOS 27 покажется вам готовой, оставляя Tahoe без патча. Остаться на Tahoe значит установить 26.7.1.

Что на самом деле исправляет macOS 27.0.1

Публичные формулировки Apple скудны. В потребительской заметке сказано, что обновление «содержит исправления ошибок для вашего Mac», а на собственной странице безопасности Apple для него указано лишь «нет опубликованных записей CVE». MacRumors в своей статье о выпуске сообщил, что Apple не назвала, какие именно ошибки исправлены, и процитировал читателя, недовольного нехваткой подробностей. Остальные полезные детали приходят от тех, кто прочитал корпоративные заметки и изучил само обновление:

• Исправление Platform SSO на экране блокировки. Mr. Macintosh цитирует корпоративные заметки о выпуске: Apple устранила проблему, при которой «Platform SSO не показывал поля имени пользователя и пароля на экране блокировки после выхода из режима сна». Сводка Ховарда Оукли согласуется с этим: обновление исправляет неуказанные ошибки, в том числе одну, затрагивающую Platform SingleSignOn.
• Safari 27.0.1. Safari обновляется до 27.0.1, сборка 22625.1.29.11.28 по данным и Mr. Macintosh, и Оукли.
• Небольшие обновления приложений. Оукли сообщает о Passwords 3.0.1 (самое крупное изменение в его списке), небольших повышениях версий в Mail, Messages и Shortcuts и обновлениях системных библиотек, отвечающих за «Экранное время», фреймворк Translation, поддержку SingleSignOn, почтовый индексатор Spotlight и другие. Этот список Оукли составил, сравнивая файлы, а не по журналу изменений Apple.
• Прошивка не изменилась. Системная прошивка Apple silicon остаётся 20457.1.29, как и в macOS 27.0, по данным Mr. Macintosh и Оукли.
• Размер. Mr. Macintosh называет дельту около 3,31 ГБ относительно 27.0, а Оукли — примерно 3,3 ГБ. У Mac с другой исходной версией цифра может отличаться, как показано ниже.

Что это значит, если вы управляете Mac с Platform SSO

Если ваш парк использует Platform SSO для Mac и пользователи сообщают, что после выхода Mac из сна на экране блокировки нет полей имени пользователя и пароля, это именно тот симптом, который, согласно корпоративным заметкам Apple, исправлен в 27.0.1. Прежде чем считать исправление подтверждённым для вашего поставщика удостоверений, проверьте цикл выхода из сна на пилотном Mac, в том числе оставленном заблокированным на ночь. Отдельной корпоративной страницы Apple для 27.0.1 нам открыть не удалось, поэтому приведённая выше формулировка дана так, как её цитирует Mr. Macintosh.

Что не исправлено или пока неизвестно

Не считайте 27.0.1 исправлением жалоб на Golden Gate. Apple не указала исправлений для Mission Control или Spaces, как и для роста занятого места на диске. Читатель MacRumors в комментарии утверждал, что после 27.0.1 использование диска Apple Intelligence выросло даже при отключённых функциях; это единичное свидетельство, которое мы подтвердить не можем. Проверяйте собственные цифры в настройках хранилища, а не полагайтесь на такой рассказ.

Обратите внимание и на порядок выпусков. Apple пропустила публичную бету 27.1 и сразу выпустила бету 27.2, как мы отмечали в статье о Mission Control, так что 27.0.1, скорее всего, — то обновление, с которым вам предстоит жить несколько недель.

Как проверить номера версии и сборки

После установки убедитесь, что именно у вас работает. Меню Apple, «Об этом Mac» (или «Системные настройки», «Основные», «Об этом Mac») показывает версию macOS. В Terminal версия и сборка выводятся напрямую:

sw_vers

Вывод состоит из трёх строк: ProductName, ProductVersion и BuildVersion. Для более полной строки system_profiler SPSoftwareDataType | head -6 печатает «System Version» с версией и сборкой в скобках.

Вот числа, которые мы можем подтвердить, и откуда взято каждое.

Выпуск	Версия	Сборка	Источник и уровень достоверности
macOS Tahoe	26.7.1	25G241	9to5Mac, iClarified и каталог обновлений на Mac с Tahoe (ниже)
macOS Sequoia	15.8.1	24H32	iClarified и BetaWiki, указана как сборка выпуска; на страницах Apple не встречалась
macOS Golden Gate	27.0.1	26A434	Каталог обновлений, Оукли, Mr. Macintosh, iClarified; 9to5Mac указал 26A5434

Спорный номер сборки 27.0.1

В статье 9to5Mac сборка 27.0.1 указана как 26A5434. Mr. Macintosh, Ховард Оукли и iClarified называют 26A434, и сайты-агрегаторы прошивок IPSW Apple тоже приводят 26A434. Наши прежние материалы фиксировали macOS 27.0 как сборку 26A428, которая естественно соседствует с 26A434.

Самое сильное свидетельство, впрочем, — собственный каталог Apple. Мы выполнили softwareupdate --list на Mac с macOS Tahoe 26.5.2 30 сентября, и среди прочего он вернул:

* Label: macOS Tahoe 26.7.1-25G241
	Title: macOS Tahoe 26.7.1, Version: 26.7.1, Size: 3852999KiB, Recommended: YES, Action: restart,
* Label: macOS 27.0.1-26A434
	Title: macOS 27.0.1, Version: 27.0.1, Size: 11852702KiB, Recommended: YES, Action: restart,

Это сервер обновлений Apple называет две сборки, и он согласуется с 25G241 и 26A434. Мы считаем 26A5434 опечаткой в одной статье. Смысл номера сборки в том, чтобы проверить, что ваш Mac совпадает, поэтому, если у вас значится иное, не делайте вывод, что вы без патча; сначала проверьте номер версии, а сборку используйте лишь как подтверждение. (Сборку 15.8.1, 24H32, проверить на нашем Mac мы не могли, потому что Mac с Tahoe она не предлагается, так что она опирается на сторонние источники из таблицы.)

Как читать размеры обновлений

Каталог показывает 3 852 999 КиБ (около 3,7 ГиБ) для 26.7.1 и 11 852 702 КиБ (около 11,3 ГиБ) для 27.0.1. Вторая цифра не является дельтой 27.0.1: по-видимому, это macOS 27, предлагаемая как обновление до новой версии для Mac с Tahoe 26.5.2. Размеры зависят от версии, с которой вы обновляетесь, поэтому единого числа, которое вы скачаете, не существует.

Как установить каждое обновление

На Mac с Tahoe или Sequoia

Откройте «Системные настройки», нажмите «Основные», затем «Обновление ПО». Mac, поддерживающий macOS 27, покажет две вещи: переход на macOS 27 и, отдельно, обновление для версии, на которой вы находитесь. Инструкции Apple по обновлению описывают путь («Основные», затем «Обновление ПО»), но не поясняют, как избежать перехода на новую версию. Наиболее ясно это документирует заметка Daring Fireball о компоновке «Обновления ПО» в эпоху Tahoe. В панели был раздел «Upgrade» для новой мажорной версии и раздел «Другие обновления» с собственной кнопкой «Обновить сейчас» для обновления текущей версии. Вывод Грубера: кнопка «Обновить сейчас» во втором разделе устанавливает обновление для вашей текущей macOS, а не переход на новую, а маленькая информационная кнопка открывает лист, галочки в котором уже проставлены и не влияют на то, что устанавливают эти кнопки. Его совет — нажимать «Обновить сейчас» рядом с записью для вашей версии и не трогать информационную кнопку, если вы не знаете, что делаете.

Мы опираемся на это описание и на приведённый выше вывод каталога. Apple и раньше меняла этот экран, и мы не проверяли, как он выглядит на каждой сборке macOS 27 или 26.7, поэтому читайте экран: нужное вам обновление называется «macOS Tahoe 26.7.1» или «macOS Sequoia 15.8.1», а не «macOS 27». Если кнопка подписана как переход на новую версию, а в названии стоит macOS 27, вы вот-вот начнёте мажорное обновление на 12 ГБ; возможно, вы этого и хотите, но это должно быть осознанным решением.

Выполните следующие шаги:

1. Сначала сделайте резервную копию. Обновление с промежуточным номером малорисковано, но вы собираетесь перезапустить машину посреди рабочего сеанса.
2. Закройте важные документы. Обновление перезапустит Mac; в каталоге Apple для обоих указано «Action: restart».
3. Нажмите «Обновить сейчас» у записи Tahoe или Sequoia и при запросе введите пароль.
4. Оставьте Mac подключённым к питанию. На MacBook не закрывайте крышку во время установки.
5. Когда всё завершится, войдите в систему и проверьте версию, как описано выше.

На Mac с macOS 27.0

Пользователи Golden Gate 27.0 найдут обновление 27.0.1 в разделе «Системные настройки», «Основные», «Обновление ПО», как описывает сообщение MacRumors. Требуется перезапуск. Поскольку это обновление внутри macOS 27 и случайно перейти на что-то новое некуда, выбор прост.

Из Терминала с помощью softwareupdate

Инструмент командной строки полезен для сценариев, удалённых сеансов и для того, чтобы точно видеть, что будет установлено. Всё ниже взято из справочной страницы самого инструмента (man softwareupdate) в macOS Tahoe. Мы не выполняли установку этими командами на Mac, который потом перезагружался ради 26.7.1, поэтому воспринимайте строки установки как документированный синтаксис с указанными оговорками.

softwareupdate --list

--list не требует прав администратора. Он показывает каждое доступное обновление с Label, Title, Size, флагом Recommended и Action. На нашем Mac с Tahoe 26.5.2 вывод показал и обновление 26.7.1, и переход на 27.0.1 как Recommended. Отсюда прямое следствие.

Не запускайте вслепую --install --recommended. В справке сказано, что --recommended устанавливает «все обновления, рекомендованные для вашей системы». На нашем Mac у macOS 27.0.1 стояло «Recommended: YES», так что можно ожидать, что эта команда затронет и мажорное обновление. Мы не запускали её, чтобы проверить; безопаснее сначала вывести список.

Вместо этого установите конкретное обновление по его метке. Скопируйте метку в точности так, как она напечатана, поскольку Apple строит её из названия и сборки:

sudo softwareupdate --install "macOS Tahoe 26.7.1-25G241"

Метка выше взята из списка каталога Tahoe. Для Sequoia выполните --list на том Mac и скопируйте показанную метку; с Mac под Tahoe мы её увидеть не могли, поэтому не приводим. Полезные документированные флаги:

Флаг	Что делает, по справке
--list	Выводит все доступные обновления
--install item	Загружает и устанавливает указанное обновление
--download item	Загружает без установки; позже устанавливается через --install или «Системные настройки»
--restart	Автоматически перезапускает, если установка этого требует; приложения вошедшего пользователя закрываются, а --force добавляет принудительную перезагрузку
--os-only	Только обновления macOS
--safari-only	Только обновления Safari
--stdinpass и --user	Передают пароль владельца и пользователя-владельца для авторизации; только Apple silicon

Последние два применимы только к Apple silicon и нужны для установок без присмотра, когда некому вводить пароль. Прочитайте справку, прежде чем вписывать пароль в какой-либо сценарий.

Чтобы пойти другим путём, установите Safari отдельно с помощью --safari-only, а обновление macOS — по метке. Учтите, что путь с полным установщиком из нашего руководства по устранению неполадок «Обновления ПО» использует --fetch-full-installer, который предназначен для полных установщиков, а не для обновлений с промежуточным номером.

Как отменить

Кнопки отмены для обновления безопасности нет; вернуться можно только из резервной копии Time Machine, сделанной до установки, или полной переустановкой. У Background Security Improvements от Apple есть собственный механизм удаления, описанный в нашем руководстве по BSI, но 26.7.1 и 15.8.1, судя по страницам Apple, — обычные обновления. Откатывать исправление известной эксплуатируемой ошибки в любом случае редко разумно.

Управляемые Mac: отсрочки, сроки и запись в каталоге CISA

Если вы администрируете Mac, первый вопрос — не удерживает ли это обновление незаметно какая-нибудь отсрочка. Два факта из материалов Apple по управлению устройствами, изложенные в нашем руководстве по командам обновления ПО в MDM, определяют, как с этим поступать.

В macOS 27 прежние команды и ограничения ничего не делают. Apple заявила, что «прежнее управление обновлениями ПО больше не работает во всех операционных системах 27.0». Mac с 27.0 получает 27.0.1 при декларативном управлении: декларацией com.apple.configuration.softwareupdate.enforcement.specific, которая требует версию к сроку, и softwareupdate.settings для отсрочек и автоматических действий.

В Tahoe и Sequoia ситуация иная. Эти выпуски появились до удаления, поэтому в игре могут быть и старые механизмы, и декларативные. Если политика откладывает промежуточные обновления, скажем, на 30 дней, 26.7.1 и 15.8.1 могут удерживаться этот срок. Проверьте конфигурацию отсрочек и пилотную группу, прежде чем считать парк пропатченным. Для известной эксплуатируемой ошибки большинство администраторов захочет сократить отсрочку для этого выпуска или отправить его с крайним сроком принудительной установки.

• Для Sonoma и более старых Mac обновления, которое можно развернуть, нет. Планируйте обновление ОС, а такие Mac ведите в списке наблюдения, а не в списке патчей.
• Проверьте Platform SSO на 27.0.1, прежде чем развёртывать его широко. Исправление экрана блокировки — причина, по которой многим Mac с управлением удостоверениями понадобится это обновление, поэтому сначала проверьте вход после выхода из сна на пилотной группе.
• Режим блокировки не даёт устанавливать профили конфигурации. Страница Apple о режиме блокировки сообщает, что профили конфигурации нельзя установить, пока он включён, поэтому включение режима на управляемом Mac влияет на регистрацию и обновление профилей. Решайте осознанно.

Запись в каталоге CISA

CISA добавило уязвимость в свой каталог известных эксплуатируемых уязвимостей 29 сентября. Оповещение CISA называет её «Apple Multiple Products Out-of-Bounds Write Vulnerability» и ссылается на свидетельства активной эксплуатации. Срок устранения, 2 октября 2026 года для федеральных гражданских ведомств США, приведён по The Hacker News; на открытой нами странице оповещения CISA есть ссылка на Binding Operational Directive 26-04, но сама дата не указана, так что, если вам нужен авторитетный срок, проверьте запись в каталоге KEV. Срок KEV обязателен для федеральных ведомств, а не для домашних пользователей или компаний. Но как ориентир он полезен. Если используемая вами система требований к соответствию считает записи KEV приоритетными для патчей, это сигнал, а трёхдневное окно — разумная внутренняя цель для известной эксплуатируемой ошибки на машинах без экзотики.

Режим блокировки для пользователей с повышенным риском

Режим блокировки — необязательная настройка усиленной защиты от Apple. Apple описывает его как «необязательную, предельную защиту», рассчитанную на очень немногих людей, которых из-за того, кто они и чем занимаются, могут лично атаковать с помощью сложных киберугроз. Он предназначен не для всех, и Apple прямо об этом говорит.

На Mac путь такой: меню Apple, «Системные настройки», «Конфиденциальность и безопасность», «Режим блокировки», затем «Включить», а последний шаг — «Включить и перезапустить». По данным Apple, режим блокировки:

• блокирует большинство вложений в сообщениях, кроме некоторых изображений, видео и аудио;
• отключает некоторые сложные веб-технологии, из-за чего часть сайтов загружается медленнее или работает неправильно;
• блокирует входящие вызовы FaceTime от людей, с которыми вы не связывались последние 30 дней, и блокирует приглашения в сервисы Apple;
• удаляет сведения о местоположении из отправляемых фотографий;
• требует разблокировать Mac перед подключением проводного аксессуара;
• не позволяет Mac автоматически подключаться к незащищённым сетям Wi-Fi;
• запрещает установку профилей конфигурации.

Две честные оговорки. Во-первых, Apple не говорила, остановил ли бы режим блокировки именно этот эксплойт, так что утверждать это мы не можем. Во-вторых, режим блокировки сокращает поверхность атаки, но не заменяет обновление. Человеку с высоким риском стоит сделать и то и другое: сначала установить 26.7.1 или 15.8.1, затем рассмотреть режим блокировки. Если, включив его, вы сочтёте его слишком ограничивающим, ту же панель можно использовать, чтобы выключить его, с очередным перезапуском.

Устранение типичных проблем

Обновление не появляется в Обновлении ПО

Symptoms: «Системные настройки» показывают «Ваш Mac обновлён», или показывают только macOS 27, или показывают более старый номер.

Cause: «Обновление ПО» может показывать кэшированный результат проверки, автоматическая проверка может быть отключена, либо выпуск может удерживать управляемая отсрочка. Mac, не поддерживаемые новейшей macOS, никогда его не видят, а Mac на Sonoma и старше вообще не увидят 26.7.1 или 15.8.1, потому что эти обновления к ним не относятся.

Solution:

1. Подтвердите версию в разделе «Об этом Mac». Для Mac на Sonoma патча нет.
2. Перезагрузитесь и снова откройте «Обновление ПО».
3. Запустите настоящую проверку и выведите результаты:

sudo softwareupdate --background --force
softwareupdate --list

4. На управляемом Mac спросите администратора, действует ли отсрочка обновлений.

If that does not work: sudo softwareupdate --clear-catalog сбрасывает кэшированный каталог, что безвредно, но редко бывает причиной. Остальные причины разобраны в нашем руководстве по обновлениям macOS, которые не появляются.

Mac предложил macOS 27, а мне нужно только обновление безопасности

Symptoms: Вы нажали не ту кнопку, и началась загрузка на 12 ГБ, либо «Обновление ПО» показывает только кнопку перехода на новую версию.

Solution: Отмените загрузку в панели «Обновления ПО» и найдите обновление с названием «macOS Tahoe 26.7.1» или «macOS Sequoia 15.8.1». Если его нет на экране, softwareupdate --list показывает все пункты, а sudo softwareupdate --install со скопированной вами меткой установит только его. Избегайте информационной кнопки, которая, по Daring Fireball, может показывать уже отмеченные варианты, вводящие в заблуждение.

Загрузка или установка завершается ошибкой или зависает

Symptoms: Появляется ошибка, индикатор выполнения останавливается либо обновление прерывается после перезапуска.

Cause: Обычные виновники — нехватка свободного места на диске, обрыв сетевого соединения, сторонний инструмент безопасности или VPN, который мешает, либо устаревшая загрузка.

Solution:

1. Освободите не менее 20 ГБ. Обновления с промежуточным номером распаковывают файлы перед применением, а приведённый выше каталог сообщает о загрузке около 3,7 ГиБ для 26.7.1.
2. Восстановите сетевое соединение, отключите VPN и попробуйте снова.
3. Удалите частичную загрузку в «Обновлении ПО» и загрузите заново.
4. На портативном Mac подключите зарядное устройство и оставьте крышку открытой.
5. Найдите точный код в нашем инструменте кодов ошибок.

If that does not work: Обратите внимание на поведение Mac после неудачного перезапуска. Mac, который нормально загружается, просто не смог применить обновление, и повторить попытку безопасно. Mac, который не загружается, зацикливается или показывает чёрный экран, требует действий по восстановлению из нашего руководства по Mac, который не загружается после обновления.

После обновления что-то сломалось

Symptoms: Приложение, VPN или инструмент безопасности работает неправильно после 26.7.1 или 15.8.1.

Cause: Обновления с промежуточным номером меняют системные библиотеки, а CoreGraphics используется многими приложениями. Apple указывает единственное изменение, так что проблемы маловероятны, но не исключены.

Solution: Перезагрузитесь один раз, обновите затронутое приложение до новейшей версии и проверьте страницу поддержки разработчика. Если необходимо откатиться, восстановите систему из резервной копии Time Machine, сделанной до обновления, но взвесьте это тщательно: вы вернётесь к Mac с известной эксплуатируемой ошибкой.

Mac застрял на Sonoma и дальше обновиться не может

Symptoms: «Обновление ПО» не показывает ничего нового, а ваш Mac — одна из моделей MacBook Air 2018 или 2019 годов.

Cause: Новейшая macOS, которую поддерживают эти модели, — Sonoma, а для Sonoma Apple 28 сентября ничего не опубликовала.

Solution: Прочитайте раздел о брошенных Mac в нашем руководстве по Sonoma. Пока вы не замените Mac, не открывайте неожиданные вложения, держите браузер актуальным и подумайте о том, чтобы использовать его только для малорисковых задач.

Часто задаваемые вопросы

Нужна ли мне macOS 26.7.1, если у меня уже macOS 27?

Нет. У Apple 27.0.1 значится без опубликованных записей CVE, а две записи о безопасности относятся к Tahoe и Sequoia. Комментаторы, изучившие список Apple, говорят, что Golden Gate, судя по всему, не затронута. Вам всё же может понадобиться 27.0.1 ради исправлений ошибок, включая исправление Platform SSO на экране блокировки, но это не экстренное обновление безопасности.

Эксплуатируется ли CVE-2026-86950 на Mac?

Формулировка Apple такова: проблема могла эксплуатироваться в крайне сложной атаке на конкретных целевых лиц в версиях iOS до iOS 27. О том, что атаковали Mac, там не говорится. Тот же дефект существовал в macOS Tahoe и Sequoia, поэтому Apple исправила и их. CISA указывает CVE как активно эксплуатируемый, используя обозначение Apple Multiple Products.

Можно ли установить 26.7.1 без перехода на macOS 27?

Да. В «Системных настройках», «Основные», «Обновление ПО» выберите кнопку «Обновить сейчас» рядом с записью macOS Tahoe 26.7.1, а не кнопку перехода на macOS 27. Из Terminal выполните softwareupdate --list, затем установите метку 26.7.1 по имени. Избегайте --recommended, потому что macOS 27.0.1 в нашем списке каталога тоже была помечена как рекомендуемая.

Какой правильный номер сборки у macOS 27.0.1?

Мы нашли 26A434. Каталог обновлений Apple, Ховард Оукли, Mr. Macintosh и iClarified называют это число, а 9to5Mac напечатал 26A5434, что похоже на опечатку. Сначала подтвердите номер версии, 27.0.1, а сборку используйте лишь как проверку. Выполните sw_vers в Terminal, чтобы увидеть оба значения на вашем Mac.

У меня Mac с Sonoma. Есть ли для него исправление?

От Apple нет, по состоянию на 30 сентября. Новейший выпуск Sonoma на странице безопасности Apple — 14.8.9 от 6 августа, а страницы Apple о Tahoe и Sequoia Sonoma не указывают. Если ваш Mac может работать под Sequoia или новее, обновитесь. Если это MacBook Air 2018 или 2019 года, планируйте замену и сократите рискованное использование.

Стоит ли включать Режим блокировки из-за этого?

Только если вам действительно грозит целевая атака, например вы журналист, активист или сталкиваетесь с противником, обладающим большими ресурсами. Apple создала режим блокировки для этой небольшой группы, и он ограничивает сообщения, веб-функции и аксессуары. Всем остальным лучше быстро установить обновление. Режим блокировки находится в «Системных настройках», «Конфиденциальность и безопасность» и требует перезапуска.

Насколько велико обновление и сколько времени оно занимает?

Размеры зависят от исходной версии. В нашем списке каталога для Tahoe 26.5.2 26.7.1 занимал примерно 3,7 ГиБ, а Mr. Macintosh измерил около 3,31 ГБ для дельты с 27.0 до 27.0.1. Рассчитывайте на загрузку и один перезапуск и ожидайте от получаса до несколько большего времени при медленном соединении или на старых Mac.

Заключение

Практический итог умещается в несколько строк. Если ваш Mac работает под Tahoe или Sequoia, установите 26.7.1 или 15.8.1 сегодня, выбирая обновление для своей macOS, а не переход на macOS 27. Если вы используете macOS 27, установите 27.0.1, когда вам удобно; оно исправляет ошибки и проблему Platform SSO, а записей CVE Apple для него не указывает. Если вы используете Sonoma, патча нет, и решение — перейти на более новую macOS, чему посвящено наше руководство по безопасности Sonoma.

«Конкретные целевые лица» описывает, кого атаковали, а не кому грозит опасность после публикации подробностей. Бесплатный патч для задокументированной, активно эксплуатируемой дыры стоит установить в тот же вечер. Перед установкой сделайте резервную копию и убедитесь, какое именно обновление вы нажимаете; после проверьте версию с помощью sw_vers.

Если вы не уверены, какую macOS может запускать ваш Mac, воспользуйтесь нашим инструментом совместимости.

Связанные материалы: окончание обновлений безопасности Sonoma, macOS 27 не появляется в «Обновлении ПО», Mac не загружается после обновления, изменения обновления ПО в MDM в macOS 27