Apple sluit iPhone-bug gekoppeld aan verwijderde Signal-previews

Apple heeft een beveiligingsfout verholpen waardoor meldingen die waren gemarkeerd voor verwijdering langer dan verwacht op een apparaat bleven staan. 

In de beveiligingsnotities voor iOS 26.4.2 en iOS 18.7.8 zei Apple dat het probleem betrekking had op Meldingsservices en beschreef het probleem als volgt: 

De patch volgde op berichten dat de fout leesbare Signal-berichtvoorvertoningen in een iPhone-meldingsdatabase blootlegde. Apple noemde Signal niet in zijn advies, maar de update kwam nadat openbare berichtgeving de bewaarde meldingen in verband bracht met een federaal onderzoek. De oplossing is nu beschikbaar via de nieuwste iPhone- en iPad-softwarereleases van Apple.

Rechtbankbewijs vestigde aandacht op de fout

Het probleem werd publiek nadat getuigenissen in een federale zaak in Texas aantoonden dat onderzoekers Signal-berichtvoorvertoningen hadden teruggehaald uit de meldingsdatabase van een iPhone. Volgens dat rapport haalde de FBI forensisch inkomende Signal-berichten op uit de iPhone van een verdachte, zelfs nadat de app was verwijderd, omdat de berichtinhoud was achtergebleven in de push-meldingsdatabase van de telefoon.

De teruggehaalde gegevens betroffen inkomende berichten, niet uitgaande. De update van Apple pakte een probleem aan waarbij verwijderde meldingen op het apparaat konden blijven staan, hoewel Apple de patch in zijn eigen advies niet direct aan die zaak koppelde. Die berichtgeving hielp het rechtbankbewijs en de oplossing van Apple op dezelfde tijdlijn te plaatsen.

Signal zegt dat de nieuwste iOS-update het probleem aanpakt

Signal zei dat de nieuwste update van Apple de bugs achter het probleem heeft verholpen. In een bericht op X schreef de berichtenapp: "Apple's advies bevestigde dat de bugs die dit mogelijk maakten, zijn verholpen in de nieuwste iOS-release." Die verklaring kwam uren nadat Apple zijn beveiligingsnotities had gepubliceerd.

Zowel Signal als externe berichtgeving wezen op een opslagprobleem op apparaatniveau, niet op een breuk in de end-to-endversleuteling van Signal. De berichtinhoud lijkt te zijn blootgesteld via meldingsvoorvertoningen die door het besturingssysteem werden opgeslagen. Dat betekende dat het privacylek voortkwam uit de manier waarop de telefoon meldingen verwerkte, en niet uit het kernversleutelingssysteem van Signal.

Bovendien richtte de zaak de aandacht opnieuw op hoe berichtvoorvertoningen verschijnen op vergrendelde schermen en in lokale meldingslogboeken. Berichtgeving over het incident zei dat gebruikers die volledige meldingsvoorvertoningen toestaan mogelijk meer leesbare inhoud op een apparaat opgeslagen laten, zelfs wanneer de berichtenapp zelf sterke versleuteling gebruikt.