Op 22 juli kwam Apple met een belangrijke beveiligingsupdate voor iOS, maar op 1 augustus had 90 procent van de zakelijke iPhone-gebruikers die nog niet geïnstalleerd, zo claimt securitybedrijf Wandera op basis van eigen cijfers. Via de kwetsbaarheden in iMessage kan een aanvaller willekeurige code op iPhones uitvoeren zonder interactie van het doelwit. Alleen het versturen van een bericht is voldoende.

De kwetsbaarheden werden door onderzoekers Natalie Silvanovich en Samuel Groß van Google ontdekt. Details van een aantal van de beveiligingslekken werden vorige week openbaar gemaakt. Informatie over één kwetsbaarheid ontbreekt nog. Apple stelt ook dit specifieke lek te hebben gepatcht, maar volgens de onderzoekers is de update van Apple onvoldoende. De andere kwetsbaarheden zijn wel adequaat verholpen, zo stellen ze.

Wandera merkt op dat het hier om zeer ernstige beveiligingslekken gaat, vergelijkbaar met lekken die in 2016 bij een zeroday-aanval werden ingezet. Ondanks de ernst van de lekken is een groot deel van de zakelijke iPhone-gebruikers nog steeds ongepatcht. Het securitybedrijf stelt dat er binnen iOS geen waarschuwing verscheen dat de update beschikbaar was. "Dit onderstreept de inefficiëntie van Apples patchmethode", zegt Liarna La Porta. IPhone-gebruikers die iOS 12.4 nog niet hebben geïnstalleerd worden opgeroepen dit zo snel als mogelijk te doen.