Op 4 oktober kwam Apple met updates om iPhone-bezitters die van iOS 17 gebruikmaken tegen een actief aangevallen zerodaylek te beschermen. De patches zijn nu ook beschikbaar gemaakt voor toestellen die iOS 16 draaien. Via de zeroday (CVE-2023-42824) in de kernel van iOS kan een aanvaller die al toegang tot de iPhone heeft, bijvoorbeeld via een malafide app of andere kwetsbaarheid, zijn rechten verhogen.

Apple bracht zoals gezegd de updates eerst uit voor iOS 17, terwijl het bedrijf laat weten dat de zeroday-aanvallen plaatsvonden tegen gebruikers met iOS-versies voor iOS 16.6. Naast de zeroday in de iOS-kernel heeft Apple ook een kwetsbaarheid in Libvpx (CVE-2023-5217) verholpen, die eerder als zeroday is gebruikt om gebruikers van Google Chrome met spyware te infecteren.

Libvpx is een door Google en de Alliance for Open Media ontwikkelde videocodec-library. Bij het verwerken van een malafide VP8-mediastream kan er een heap buffer overflow ontstaan waardoor een aanvaller code binnen de browser of e-mailclient kan uitvoeren. Allerlei partijen en software maken gebruik van de library en zijn dan ook met updates gekomen, waaronder Apple. Gebruikers wordt aangeraden om te updaten naar iOS 16.7.1 en iPadOS 16.7.1.