Apple, baharda hiçbir paralı casus yazılımın Lockdown Mode'u aşamadığını açıklamıştı. iPhone 3GS'ten bu yana iOS kıran ve bugün Calif.io güvenlik ekibinde çalışan Stefan Esser bu iddianın pazarlama olduğunu düşünüyor — ve nedenini anlattı.
heise Mac & i'ye konuşan Esser, iOS 27.0.1'e kadar tüm güncel iPhone'larda çalışan ve yeniden başlatmaya dayanan jailbreak'inin demonstrasyon boyunca Lockdown Mode açık bir test cihazında çalıştığını söyledi. Demo videosunda bu görünmüyordu. Esser'in ifadesiyle: "İşin ironisi, test iPhone'umda baştan sona Lockdown Mode açıktı."
Değerlendirmesi, çürüttüğü pazarlama cümlesinden daha ölçülü: mod saldırıları engelleyemiyor; yalnızca özellikleri kapatabiliyor, mitigasyonları sıkılaştırabiliyor ya da sıfır tıklamalı bir exploit'i tek tıklamalı hale getirebiliyor. Bu, saldırgan açısından maliyeti artırıyor ama saldırı yüzeyini ortadan kaldırmıyor; çünkü cihazlar hâlâ çok büyük miktarda medya ve protokol ayrıştırıyor. "Lockdown Mode gerçekte hiçbir şeyi engelleyemez."
Zincirin giriş noktası bir PDF ayrıştırıcısıydı. Hazırlanmış PDF cihaza Safari veya AirDrop ile ulaşıyor. Lockdown Mode açıkken iOS böyle bir dosyayı hemen göstermiyor, Önizleme uygulamasına yönlendiriyor — ve Apple'ın geliştirilmiş bellek koruması Memory Integrity Enforcement (MIE, Apple'ın deyimiyle MTE) tam olarak orada, Esser'in anlatımına göre yalnızca orada etkin. Esser bunu alışkanlık hâline gelmiş bir kalıp olarak tarif ediyor: "Apple yeni güvenlik özelliklerini her zaman önce yalnızca gerekli gördüğü ve uyumsuzluk riskinin en küçük olduğu yerde devreye alıyor." Bu vakada ayrım sonuç doğurmadı: Calif ekibi MIE'yi de aştı.
Bir PDF'in neden yettiğini Esser formatın saldırı yüzeyiyle açıklıyor: "PDF de sonuçta bir kurban. Format elden ele dolaşıyor, herkes açıyor ve ayrıştırması çok karmaşık." Lockdown Mode burada yalnızca bir ara adım ekliyor — sıradan bir kullanıcının günlük hayatta zaten attığı bir adım.
Açıklamanın ikinci yarısı kalıcılıkla ilgili. Jailbreak, ilgili açıkların çoğunu kapatan iOS 27.2 güncellemesinden sonra da cihazda kalıyor. Esser'e göre hata, "güncellemenin dokunmadığı" bir yerde ve kod 27.2 için "biraz" uyarlanmış. Kritik nokta şu: "Kalıcılık açığını Apple henüz kapatmadı, çünkü teknik ayrıntıları Apple'a hâlâ göndermedik."
Bu, değerlendirmeyi değiştiriyor. Bu senaryoda yamalı bir cihaz, yama onu temizlemeden kompromize kalmaya devam edebilir — "güncelle yeter" tavsiyesi için önemli bir ayrıntı, gerçi bu hâlihazırda enfekte olmuş bir telefonu varsayıyor. Apple, Hexacon demosundan on gün sonra iOS 27.2 ile zincirin büyük kısmını kapattı; sürümün teşekkür listesinde Calif ve Esser birkaç kez geçiyor, bunlardan biri CoreGraphics'teki CVE-2026-113950.
Pratik tablo bu yüzden ikiye ayrık. Apple'ın donanım savunması gerçek ve 13 ayda tam olarak bir kez kamuya açık şekilde aşıldı. Lockdown Mode yüksek riskli kişiler için hâlâ anlamlı, çünkü bir saldırının maliyetini ölçülebilir biçimde artırıyor. Olmadığı şey ise garanti. Onu garanti gibi satmak pazarlama satmaktır — bu haftaki açıklamanın asıl anlamı da bu.
