Co přesně hrozí při návštěvě škodlivého webu

Představte si, že kliknete na odkaz v e-mailu nebo na sociální síti. Stránka se načte, Safari ji vykreslí a v tu chvíli může chyba ve WebKitu umožnit útočníkovi přístup k datům, ke kterým by se za normálních okolností nedostal. Apple v bezpečnostním poradenství u jednotlivých CVE uvádí například tyto scénáře:

• Únik citlivých dat – návštěva škodlivého webu může vést k odhalení citlivých informací.
• Cross-origin exfiltrace – škodlivý web může získat obsah z jiných otevřených stránek, například z internetového bankovnictví.
• Únos schránky – útočník může přečíst nebo přepsat obsah schránky. Stačí, abyste si předtím zkopírovali heslo.
• Únik procesní paměti – prohlížeč může nechtěně odhalit obsah operační paměti, kde se mohou nacházet tokeny, cookies nebo části vyplněných formulářů.
• Zpracování obsahu mimo sandbox – webový obsah se může dostat mimo izolované prostředí, které má podobným útokům bránit.

Žádný z těchto scénářů nevyžaduje, abyste cokoli stahovali nebo potvrzovali. Stačí pouze načíst škodlivou stránku.

Kdo je ohrožen a jak aktualizovat

Aktualizace se netýká jen nejnovějších modelů. iOS 26.5.2 podporuje iPhone 11 a novější včetně iPhonu SE 2. a 3. generace. U iPadů sahá kompatibilita až k iPadu 8. generace, iPadu Air 3. generace a iPadu mini 5. generace. Na straně Maců běží macOS Tahoe například na MacBooku Pro 16″ z roku 2019, iMacu 27″ z roku 2020 nebo Macu Pro 2019. Safari 26.5.2 Apple navíc vydal i pro starší verze macOS, takže opravy WebKitu dorazily také na zařízení, která ještě nepřešla na nejnovější systém.

Postup je jednoduchý:

• iPhone / iPad: Nastavení → Obecné → Aktualizace softwaru → Stáhnout a nainstalovat.
• Mac: Apple menu → Nastavení systému → Obecné → Aktualizace softwaru.

Důležitá poznámka: k 30. červenci 2026 už Apple nabízí novější iOS 26.6, macOS Tahoe 26.6 a Safari 26.6. Nainstalujte vždy tu nejnovější verzi, kterou vám systém nabídne; opravy z verze 26.5.2 jsou v novějších verzích zahrnuté. A pokud máte starší zařízení, které iOS 26 nepodporuje? Apple v roce 2026 stále vydával bezpečnostní záplaty i pro starší větve, například iOS 18.7.9 pro iPhone XS a XR, iPadOS 17.7.11 pro nejstarší podporované iPady nebo macOS Sequoia 15.7.8. Úplně bez ochrany zůstáváte teprve tehdy, když vám Aktualizace softwaru nenabízí vůbec nic.

Chyby hledá i umělá inteligence

Zajímavý detail, který si zaslouží pozornost: mezi objeviteli některých zranitelností Apple uvádí také Anthropic Claude a OpenAI Codex Security. Nejde o náhodu. OpenAI popisuje svůj systém Codex Security jako agentní nástroj, který automaticky prochází repozitáře kódu, hledá zranitelnosti, ověřuje jejich zneužitelnost v sandboxu a navrhuje opravy. Anthropic zase dokumentuje případ, kdy Claude ve spolupráci s Mozillou odhalil 22 zranitelností ve Firefoxu během pouhých dvou týdnů. Umělá inteligence zjevně zrychluje škálovatelné hledání chyb, finální ověření i samotné opravy ale stále zůstávají na lidech.

Proč tolik děr najednou a jak je na tom konkurence

Číslo 37 (respektive 38) zní dramaticky, ale nejde o žádnou anomálii. Apple pravidelně vydává kumulativní bezpečnostní balíky pokrývající více komponent najednou; některé meziverze nemají žádná publikovaná CVE, jiné jich obsahují desítky. Podobně funguje i konkurence: Google v Chromu běžně opravuje chyby ve WebRTC, Extensions nebo typu use-after-free v rámci jednoho stabilního vydání a Microsoft u Edge pravidelně přebírá bezpečnostní opravy z projektu Chromium. Rozdíl je v použitém enginu: Apple řeší WebKit, zatímco konkurence staví na Blinku a V8, samotné typy hrozeb jsou ale velmi podobné.

Apple u těchto konkrétních CVE nezveřejnil informace o aktivním zneužívání v praxi. Když o něm ví, obvykle to výslovně uvede, jako tomu bylo u iOS 26.3 a zranitelnosti CVE-2026-20700. To ale neznamená, že jde jen o akademické cvičení. Právě naopak: chyby v jádru webového prohlížeče patří k nejcennějším komoditám na černém trhu, protože k jejich zneužití často stačí jediný klik na škodlivý odkaz.

Otevřete Nastavení, přejděte do Aktualizace softwaru a nainstalujte to, co vám systém nabídne. Zabere to pár minut. Riziko, že to neuděláte, může přetrvávat mnohem déle.

Co přesně Apple opravil a proč je to naléhavé

Prosincová záplata cílí na dvě konkrétní chyby ve WebKitu. První, klasifikovaná jako use-after-free, mohla vést k vykonání libovolného kódu poté, co prohlížeč zpracoval upravenou webovou stránku. Druhá způsobovala poškození paměti při renderování škodlivého obsahu. Obě stačilo spustit jediným kliknutím na odkaz, nebo v některých scénářích ani tím.

Apple v bezpečnostním bulletinu k iOS 26.2 použil formulaci, kterou rezervuje pro nejzávažnější případy: „Apple si je vědom zprávy, že tato chyba mohla být zneužita při extrémně sofistikovaném útoku proti konkrétním cíleným osobám.“ Jinými slovy, nejde o teoretické riziko. Někdo tyto chyby skutečně použil proti konkrétním lidem.

Důležitý detail: záplata není exkluzivní pro iOS 26. Apple ji vydal i v iOS 18.7.3, takže i majitelé starších iPhonů, kteří nechtějí přecházet na nový systém, se mohou chránit, pokud si aktualizaci nainstalují.

Kdo je skutečným cílem a kdo jen vedlejší obětí

Apple na své stránce věnované hrozbám komerčního špionážního softwaru opakovaně zdůrazňuje, že drtivá většina uživatelů se terčem takových útoků nikdy nestane. Komerčně vyvíjený a zpravidla státem objednaný sledovací software míří na novináře, aktivisty, diplomaty, disidenty. Úzký okruh lidí, u nichž se útočníkovi vyplatí investovat statisíce dolarů za jednu kompromitaci.

To ale neznamená, že se běžného uživatele problém netýká. Jakmile je zranitelnost veřejně známá a záplata existuje, je jen otázkou času, než se exploit rozšíří i mezi méně sofistikované útočníky. A evropský kontext není abstraktní: Citizen Lab loni forenzně potvrdil, že špionážní software Graphite od firmy Paragon byl nasazen proti evropským novinářům. Kompromitace přitom pro oběť nebyla viditelná. Veřejně zdokumentovaný český případ jsme nedohledali, ale geografická vzdálenost od potvrzených evropských zásahů je minimální.

Proč tolik iPhonů zůstává bez opravy

Apple k 12. 2. 2026 uváděl 66 % všech iPhonů na iOS 26. To zní solidně, jenže zbývající třetina představuje stovky milionů zařízení. A ani těch 66 % nemusí nutně běžet na verzi 26.2, která obsahuje prosincovou záplatu.

Lednový mediální narativ o „katastrofálně nízké adopci iOS 26“ stál hlavně na datech Statcounteru, který sám přiznal, že jeho měření zkreslily změny v Safari anti-fingerprintingu. Reálná čísla jsou tedy pravděpodobně lepší, než jak vypadala v lednu. Pořád ale platí, že:

• Automatické aktualizace jsou na iPhonu volitelné, uživatel je může vypnout nebo odložit.
• Přechod na novou hlavní verzi iOS vyžaduje aktivní souhlas; systém ho nevynucuje.
• Část uživatelů zůstává na iOS 18 záměrně, ať už kvůli odporu k designu Liquid Glass, nebo ze zvyku.

Pro ty, kdo zůstávají na iOS 18, je minimum iOS 18.7.3. Kdo nemá ani to, je bez záplaty na aktivně zneužívané chyby.

iOS 26 přidává vrstvu navíc, ale ne pro všechny

Kromě konkrétních záplat na prosincové zero-day přinesl iOS 26 ještě jednu vrstvu ochrany: Memory Integrity Enforcement. Jde o hardwarově vázanou ochranu paměti postavenou na secure allocators a rozšíření Enhanced Memory Tagging Extension v synchronním režimu. Apple ji navrhoval přímo jako obranu proti komerčnímu špionážnímu softwaru, má znemožnit celé kategorie útoků na paměť, nejen jednotlivé chyby.

Háček je v tom, že MIE vyžaduje procesor A19 nebo M5 a novější. V praxi to znamená iPhone 17 a jeho generaci. Majitel iPhonu 15 nebo 16 může mít iOS 26.2 se všemi záplatami, ale hardwarovou ochranu MIE nedostane. Podle nás jde o nejdůležitější rozlišení, které se v debatě o „nutnosti updatovat“ ztrácí: samotný upgrade na iOS 26 neznamená stejnou úroveň ochrany pro všechny modely.

Co udělat teď

Cesta trvá dvacet sekund: Nastavení → Obecné → Aktualizace softwaru. Pokud vidíte iOS 26.2 nebo novější, jste v pořádku. Pokud váš iPhone nepodporuje iOS 26, ověřte, že běží alespoň na iOS 18.7.3. A zapněte automatické aktualizace, včetně samostatných systémových souborů, které Apple umí doručit i mimo hlavní aktualizaci.

Pro kohokoli, kdo se pohybuje v rizikovém prostředí, ať už jde o novináře, aktivisty nebo právníky pracující s citlivými zdroji, Apple nabízí Lockdown Mode. Omezí část funkcí, ale výrazně zúží útočnou plochu. Restart iPhonu může dočasně ukončit běžící implant v paměti, ale neopraví zranitelnost. Bez záplaty se exploit spustí znovu při dalším načtení škodlivého obsahu. Nejlepší ochrana proti špionážnímu softwaru není paranoia. Je to jedno klepnutí na tlačítko „Aktualizovat“.

Internet je dnes plný hrozeb a je stále složitější se jim vyhýbat, i když to není nemožné. Asi nejhorší jsou viry, které přímo cílí na peníze, a právě mezi takové patří i CookieMiner. Jak už název napovídá, dokáže ukrást informace uložené v prohlížeči, ale je toho mnohem více. Redakce Mobify varuje, že by se měli mít na pozoru všichni, kdo užívají internetové prohlížeče Chrome a Safari. Škodlivý software cílí v tomto případě pouze na uživatele macOS.

Obejít by mohli i dvoufaktorové zabezpečení

Jak upozornil server HindustanTimes, malware je schopen ukrást soubory cookie prohlížeče spojené s kryptoměnovými burzami a stránkami peněženek, čímž je myšleno Google Pay, Apple Pay atd. A to využitím kombinace ukradených přihlašovacích údajů, webových souborů cookie a SMS dat. Pokud by byli útočníci úspěšní, získali by přístup k burzovnímu účtu a/i peněžence oběti, z níž by mohli převádět finanční prostředky, jako by to dělal sám majitel.

TripWire k tomu dodává, že je CookieMiner spojen (chápaje, že na ně cílí; ne, že by s ním spolupracovaly) zejména s těmito kryptoburzami:

• Binance
• Bitstamp
• Bittrex
• Coinbase
• MyEtherWallet
• Poloniex
• jakákoliv webová stránka s názvem domény „blockchain“ (např. blockchain.com)

Soubory cookie přitom vysvětluje tak, že jsou používány mj. k ověřování, takže jakmile se uživatel přihlásí na webovou stránku, jsou jeho soubory uloženy, aby server rozpoznal stav přihlášení. A to útočníkům úplně stačí, poté už mohou ukrást vše, co je v cookies uloženo.

Na GitHub je potom uvedeno, že ačkoliv mohou hackeři přes CookieMiner ukrást kryptoměny a reálné peníze (chápaje v digitální podobě), zvládá toho mnohem více:

• ukrást soubory cookie prohlížečů Chrome a Safari
• ukrást uživatelská jména a hesla uložená v prohlížeči Chrome
• ukrást přihlašovací údaje ke kreditním kartám uloženým v Chromu (například Visa, Mastercard a další)
• ukrást SMS zprávy z iPhonu, pokud byly zálohovány do iTunes
• stáhnout a nainstalovat další soubory, abyste měli na infikovaném počítači zadní vrátka (tím je myšleno, že k němu bude mít hacker na dálku přístup a dokáže do něj instalovat další programy, eventuálně ho také ovládat)
• stáhnout a spustit program pro těžbu kryptoměn

Zmíněný TripWire avizuje, že by měl případnému stažení malwaru CookieMiner zabránit schopný antivirový program, ačkoliv je nutné podotknout, že to nemusí být 100%. Hackeři totiž software neustále vyvíjí, potažmo hledají způsoby, jak cíl infikovat, a ne vždy musí být antivirus o krok napřed, byť s ním kybernetické hrozby znatelně klesají.

Kybernetické hrozby dnes číhají doslova na každém rohu, a ačkoliv se jim lze do jisté míry vyhnout, jsou některé vyloženě cílené, takže jim nakonec neuniknou ani ti nejlépe zabezpečení. Mnohé z nich navíc vypadají oficiálně, takže snadno zmatou – za příkladnou dává redakce Mobify falešnou aktualizaci internetového prohlížeče Safari, která ve skutečnosti krade citlivé údaje.

Přes cookies ukradne i číslo platební karty

Web TheHindu upozorňuje, že falešná aktualizace internetového prohlížeče Safari ukrást soubory cookies, a tedy i informace o platebních kartách. Podotýká přitom, že se jedná o stejnou „kampaň“, v jejímž rámci se hackeři dříve pokoušeli krást totéž z počítačů s OS Windows. Cílí přitom na více než 50 rozšíření instalovaných do prohlížeče a na „klíčenku“.

Zrovna zmíněná Klíčenka je přitom správce hesel od Applu a je dostupná (i synchronizovaná) na všech jeho zařízeních. Vedle toho však obsahuje i řadu dalších citlivých údajů a šifrovaných informací, k nimž se útočníci snaží získat přístup. A to konkrétně přes Binance Smart Chain, což je blockchainová síť navržená jako výkonný blockchain, který je kompatibilní s EVM (Ethereum Virtual Machine) a podporuje chytré kontrakty, vysvětluje Binance.

Jedná se o tzv. techniku EtherHiding. Hacker tím dokáže skrýt skripty podporující řetězec škodlivého softwaru v blockchainu, díky čemuž jsou kompromitované webové stránky využity k šíření falešné aktualizace Safari. Jakmile totiž někdo na daný web přijde, je vyzván k jejímu stažení, případně mu je nabídnuto nějaké rozšíření.

V momentě, kdy to udělá, otevře dveře hackerovi, který mu následně může ukrást již zmíněné údaje uložené v souborech cookie, případně i z Klíčenky. BleepingComupter k tomu dodává, že by uživatelé měli využívat schopný antivirový program a vyhnout se instalaci z neoficiálních stránek, protože se jinak vystavují riziku, že si stáhnout malware.

Safari je už po dlouhá léta nativním prohlížečem iOS, iPadOS i macOS, a oproti jiným má výhody i odlišnosti. Jedná se například o synchronizaci s jinými zařízeními (ano, umí to i jiné, ale ne vždy v takovém rozsahu), ale stejně tak o funkce, které zefektivňují práci s ním, jedinečný design a řadu dalšího. Redakce Mobify nicméně v praxi od mnoha uživatelů zjišťuje, že často vlastně ani o spoustě funkcí nevědí a potenciálu Safari nevyužívají.

1) Adresní řádek umístěte podle svého

Safari uživatelům umožňuje, aby si sami vybrali, zda budou mít adresní řádek nahoře nebo dole, kde na něj lze snadno klepnout, když ovládáte telefon jednou rukou. Stačí otevřít Nastavení, přejít do Safari, sjet níže a vybrat mezi „Řádek panelů“ a „Jeden panel“, doporučuje PCMag. Toto je mimochodem něco, s čím nejspíše jako první experimentovali Google Chrome a Dolphin.

2) Rozdělte si procházený obsah

Prohlížeč umí dávno více než střídat klasický a anonymní režim (ale zvládají to i jiné), takže můžete procházet třeba osobní obsah v jedné sekci, a pracovní zase v druhé. V Safari klepněte vpravo dole na ikonu karet a poté uprostřed na „Skupiny panelů“, kde si můžete vytvořit novou skupinu, případně organizovat ty již existující.

3) Anotace toho, co zrovna vidíte

Procházený obsah můžete rovnou tzv. anotovat, což znamená, že Safari pořídí snímek obrazovky a umožní do něj kreslit, psát, zvýrazňovat apod. Není tedy potřeba nejdříve provádět screenshot, a teprve poté ho upravovat v aplikaci; výstup bude dostupný v PDF. V dolní části klepněte na tlačítko „Sdílet“, sjeďte dolů a vyberte „Anotovat“.

4) Stránku si pro rychlý přístup připněte

Jestli míváte spuštěných i několik desítek karet, snadno se v nich ztratíte. Safari je však umožňuje připnout, takže kdykoliv prohlížeč spustíte, uvidíte je jako první nad ostatními. Když klepnete na ikonu panelů a zobrazíte si ty otevřené, stačí potom na konkrétní kartě podržet prst, dokud se neobjeví nabídka. Z té následně vyberte „Připnout panel“.

5) Synchronizujte Safari mezi zařízeními

Co procházíte na mobilu můžete vidět v počítači a naopak, pakliže zapnete funkci „Sdílet mezi všemi zařízeními“, kterou najdete v nastavení, kde zvolte přejdete do Safari, a sjedete skoro až dolů, vysvětluje Apple.

6) Vyhledávejte pomocí hlasu / diktování

Ačkoliv samotná Siri ještě česky neumí, minimálně v prohlížeči Safari můžete nadiktovat, co chcete vyhledat. Stačí na adresním řádku podržet prst, než se objeví nabídka, z níž zvolte „Hlasové hledání“, a potom už jenom řekněte svůj požadavek.

7) Uzamkněte si prohlížený obsah

Jestli nechcete, aby vám kdokoliv mohl v prohlížeči najít soukromé nebo jinak citlivé otevřené karty, můžete je zamknout a odemykat pouze přes Face ID. V nastavení přejděte do Safari a sjeďte to cca o 60 % obrazovky, kde zapněte „Pro odemknutí anonymního prohlížení vyžadovat Face ID“.

8) Stáhněte si různá rozšíření

Když přejdete do nastavení, kde zvolíte Safari, tak v sekci „Obecné“ najdete položku „Rozšíření“, přes níž můžete stáhnout různé doplňky přímo z App Store. Jde například o chatbota, překladač, kontrolu pravopisu, organizační nástroje apod.