Binance предупредила о публично доступной технике worse_query, которая потенциально позволяет приложению читать файлы других приложений на iPhone с iOS 26 и iOS 27. По оценке биржи, это создаёт риск раскрытия seed-фраз, закрытых ключей и учётных данных. Подтверждений эксплуатации техники или краж, связанных с ней, пока нет.
Что известно о worse_query
Исследователь под псевдонимом forcequit опубликовал на GitHub код и описание worse_query в воскресенье, за день до очередных обновлений Apple. PoC может получать доступ к контейнеру данных любого приложения на iPhone, а в iOS 27 — также к некоторым системным каталогам.
Для работы технике нужно, чтобы приложение настроило контейнер App Group. Сам forcequit отмечал, что код предназначен для разработчиков и «сам по себе бесполезен». Однако другие разработчики уже создали на его основе приложения, доступные для установки пользователям.
Одно из них — файловый менеджер WQ Files, разработанный Кристофом Колбицем. По заявлению автора, приложение может обращаться к данным других приложений, а также изменять, удалять и очищать их без джейлбрейка и эксплуатации уязвимости ядра.
WQ Files устанавливается через механизмы боковой загрузки, включая AltStore и SideStore. При использовании Apple ID эти инструменты автоматически создают необходимую группу приложений. При этом ни forcequit, ни участники связанных проектов не сообщили, возможна ли работа worse_query из приложения, опубликованного в App Store.
Статус исправления
Apple выпустила iOS 27.2.1 и iOS 26.7.3 на следующий день после публикации worse_query. В перечнях исправлений для обеих версий нет упоминаний worse_query или других проблем с изоляцией приложений. Обновления содержат исправления двух уязвимостей iMessage и нескольких ошибок Bluetooth.
Для сопоставления с предыдущими наблюдениями полезен материал [«Расширение для claude[.]ai может передать команды в Claude Desktop через Dispatch»](https://www.itb.spb.ru/time-to-live-news/informatsionnaya-bezopasnost/rasshirenie-dlya-claudeai-mozhet-peredat-komandy-v-claude/); его выводы не следует автоматически переносить на текущий случай без проверки фактов.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Apple указывает в документации, что не раскрывает, не обсуждает и не подтверждает проблемы безопасности до завершения расследования и выпуска патча либо обновления. Поэтому нельзя утверждать, что worse_query устранена в iOS 27.2.1 и iOS 26.7.3.
Три версии iOS, названные Binance, указаны среди протестированных в примечаниях к выпуску WQ Files. Forcequit приводит более широкий диапазон затронутых версий. В доступных материалах лишь разработчики Erosion упоминают iOS 27.2.1; iOS 26.7.3 не названа ни в одном из них. На этой неделе разработчики Erosion добавили iOS 27.2.1 в README с оговоркой, что они «почти уверены» в её поддержке.
При оценке требований инфраструктуры, связанных с контролем установки приложений вне штатного канала Apple, редакция рекомендует свериться с официальной страницей Security Capsule SIEM. В ответе в X forcequit заявил, что не планировал раскрывать worse_query раньше времени: по его словам, Apple медлила с ответом, а публичное обсуждение уже стало заметным.
Ограничения и возможные последствия
В опубликованном обсуждении не назывались конкретные приложения-кошельки, подверженные этой технике. Ни forcequit, ни разработчики приложений на базе worse_query не заявляли о компрометации криптокошельков. Риск утечки seed-фраз, ключей и учётных данных остаётся потенциальным сценарием, а не подтверждённым инцидентом.
Практическая значимость для российских организаций и пользователей зависит от того, устанавливаются ли на корпоративные или личные устройства приложения из неофициальных источников и через боковую загрузку. Данных о массовой эксплуатации, атаках на российские организации или возможности применения worse_query приложением из App Store нет.
Рекомендации
Binance рекомендует удалить приложения, полученные из недоверенных источников, включая вручную подписанные и установленные сторонними способами. Биржа также советует обновить iOS и приложения, хотя подтверждения устранения worse_query в последних обновлениях пока нет.
Если есть основания подозревать утечку данных криптокошелька, Binance рекомендует перевести средства в новый кошелёк, созданный на «чистом» устройстве, и сбросить все активные сеансы входа. До появления подтверждённого исправления организациям стоит контролировать установку приложений вне штатного канала Apple и не использовать для операций с криптоактивами устройства с непроверенным ПО.