iPhone XR dan iPhone 11 Punya Celah Keamanan "Abadi", Apple Tak Bisa Perbaiki - Kompas

KOMPAS.com - Sejumlah perangkat Apple lama, termasuk iPhone XR dan seri iPhone 11, dilaporkan memiliki celah keamanan yang tidak bisa diperbaiki melalui pembaruan iOS. 

Temuan tersebut diungkap oleh perusahaan keamanan siber Paradigm Shift yang pada 18 Juni 2026 lalu merilis proof of concept (PoC) atau demonstrasi eksploitasi bernama usbliter8.

Menurut laporan tersebut, celah keamanan ini memengaruhi perangkat Apple yang menggunakan chip A12 dan A13, termasuk iPhone XR, iPhone XS, iPhone XS Max, iPhone 11, iPhone 11 Pro, dan iPhone 11 Pro Max. 

Chip A12X dan A12Z yang digunakan pada iPad Pro keluaran 2018 dan 2019 juga berpotensi terdampak, meskipun implementasinya belum dikonfirmasi sehingga cakupannya masih belum pasti.

Baca juga: 6 Besar Vendor Smartphone Dunia Terbaru, Apple Masih Nomor Satu

Tidak bisa diperbaiki

Yang membuat temukan ini menjadi sorotan adalah lokasi celah keamanan tersebut berada di SecureROM atau BootROM, yakni kode dasar yang dijalankan perangkat saat pertama kali dinyalakan.

Laporan Paradigm Shift menjelaskan bahwa SecureROM tersebut ditanam langsung ke dalam chip saat proses produksi dan tidak dapat diubah setelah perangkat dibuat.

Karena berada di level perangkat keras (hardware), celah keamanan tersebut disebut tidak dapat diperbaiki (ditambal) melalui pembaruan iOS maupun patch keamanan yang dirilis Apple di masa mendatang.

Dengan kata lain, celah keamanan itu akan tetap abadi selama perangkat yang terdampak masih digunakan pengguna. 

Paradigm Shift menyebut, usbliter8 memungkinkan penyerang menjalankan kode arbriter pada perangkat yang rentan. Namun, eksploitasi ini tidak dapat dilakukan dari jarak jauh melalui internet.

Penyerang disebut harus memiliki akses fisik ke perangkat, menghubungkannya menggunakan kabel USB, lalu memasukannya ke mode Device Firmware Update (DFU) untuk menjalankan serangan.

Proses penyerangan ini dapat dilakukan dalam waktu kurang dari dua detik. Setelah dijalankan, eksploitasi tersebut akan meninggalkan penanda (watermark) "PWND" pada nomor seri USB perangkat. 

Baca juga: Hati-hati, Hacker Bisa Curi Password Pengguna Hanya dari Nonton Video TikTok dan Instagram

Paradigm Shift membandingkan usbliter8 dengan checkm8, yaitu eksploitasi BootROM yang ditemukan pada 2019 dan memengaruhi berbagai model iPhone mulai dari iPhone 4S hingga iPhone X.

Kini, usbliter8 disebut memperluas daftar perangkat yang terdampak ke generasi berikutnya, yakni perangkat berbasis chip A12 dan A13 alias iPhone XR, iPhone XS, iPhone XS Max, iPhone 11, iPhone 11 Pro, dan iPhone 11 Pro Max.

Seperti checkm8, kerentanan ini juga berada di BootROM yang tidak dapat diperbaiki atau ditambal melalui pembaruan perangkat lunak.

Apakah pengguna perlu khawatir?

Bagi sebagian besar pengguna, celah keamanan ini dinilai tidak perlu dikhawatirkan secara berlebihan. 

Sebab, eksploitasi usbliter8 tidak dapat dijalankan dari jarak jauh melalui internet dan prosesnya tidak praktis.

Penyerang harus memiliki akses fisik ke perangkat, menghubungkannya melalui USB, serta memasukkan perangkat ke mode DFU untuk menjalankan serangan. 

Selain itu, Paradigm Shift menegaskan bahwa celah keamanan usbliter8 tidak secara langsung membobol Secure Enclave, komponen keamanan Apple yang melindungi passcode dan data terenkripsi pengguna. 

Artinya, kode sandi maupun data yang tersimpan dalam kondisi terenkripsi masih tetap terlindungi. Peretasan pada tingkat BootROM juga tidak serta-merta membuat seluruh isi perangkat dapat diakses. 

Meski begitu, Paradigm Shift mengingatkan bahwa akses di tingkat BootROM berpotensi membuka jalur serangan yang lebih luas menuju Secure Enclave Processor, meskipun tidak menembusnya secara langsung. 

Temuan ini relevan bagi organisasi atau lingkungan dengan kebutuhan keamanan tinggi, seperti perusahaan, instansi pemerintah, sektor hukum, dan kesehatan yang masih menggunakan perangkat berbasis chip A12 dan A13.

Hingga Juni 2026, belum ada laporan publik mengenai penggunaan usbliter8 dalam serangan nyata. Apple juga belum menerbitkan peringatan keamanan resmi maupun nomor CVE terkait temuan tersebut. 

KOMPAS.com berkomitmen memberikan fakta jernih, tepercaya, dan berimbang. Dukung keberlanjutan jurnalisme jernih dan nikmati kenyamanan baca tanpa iklan melalui Membership. Gabung KOMPAS.com Plus sekarang