Informace o bezpečnostním obsahu watchOS 26

Tento dokument popisuje bezpečnostní obsah watchOS 26.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

watchOS 26

Apple Neural Engine

K dispozici pro: Apple Watch Series 9 a novější, Apple Watch SE 2. generace, Apple Watch Ultra (všechny modely)

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43344: anonymní výzkumník

AppleMobileFileIntegrity

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43317: Mickey Jin (@patch1t)

Audio

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43346: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

Bluetooth

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2025-43354: Csaba Fitzl (@theevilbit) ze společnosti Kandji

CVE-2025-43303: Csaba Fitzl (@theevilbit) ze společnosti Kandji

CoreAudio

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru videa může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43349: @zlluny ve spolupráci se Zero Day Initiative společnosti Trend Micro

CoreMedia

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém byl vyřešen vylepšeným ověřováním vstupů.

CVE-2025-43372: 이동하 (Lee Dong Ha) z SSA Lab

IOHIDFamily

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-43302: Keisuke Hosoda

IOKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2025-31255: Csaba Fitzl (@theevilbit) ze společnosti Kandji

Kernel

K dispozici pro: Apple Watch Series 6 a novější

Dopad: UDP serverový socket vázaný na místní rozhraní se mohl navázat na všechna rozhraní.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2025-43359: Viktor Oreshkin

MobileStorageMounter

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2025-43355: Dawuge ze Shuffle Teamu

Sandbox

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43329: anonymní výzkumník

Spell Check

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s parsováním ve zpracování cest adresářů byl vyřešen lepším ověřováním cest.

CVE-2025-43190: Noah Gregory (wts.dev)

SQLite

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování souboru může vést k poškození paměti

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-6965

System

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Byl vyřešen problém s ověřováním vstupů.

Popis: Problém byl vyřešen odebráním zranitelného kódu.

CVE-2025-43347: JZ, Seo Hyun-gyu (@wh1te4ever), Luke Roberts (@rookuu)

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Webové stránce se může podařit získat přístup k uživatelovým citlivým údajům bez jeho svolení.

Popis: Problém byl vyřešen vylepšením zpracování mezipamětí.

CVE-2025-43356: Jaydev Ahire

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43272: Big Bear

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43343: anonymní výzkumník

WebKit

K dispozici pro: Apple Watch Series 6 a novější

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém se správností byl vyřešen vylepšením kontrol.

CVE-2025-43342: anonymní výzkumník

Další poděkování

Accounts

Poděkování za pomoc zaslouží 要乐奈.

AuthKit

Poděkování za pomoc zaslouží Rosyna Keller z Totally Not Malicious Software.

Calendar

Poděkování za pomoc zaslouží Keisuke Chinone (Iroiro).

CFNetwork

Poděkování za pomoc zaslouží Christian Kohlschütter.

CloudKit

Poděkování za pomoc zaslouží Yinyi Wu (@_3ndy1) z Dawn Security Lab společnosti JD.com.

darwinOS

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

Foundation

Poděkování za pomoc zaslouží Csaba Fitzl (@theevilbit) ze společnosti Kandji.

ImageIO

Poděkování za pomoc zaslouží DongJun Kim (@smlijun) a JongSeong Kim (@nevul37) z Enki WhiteHat.

Kernel

Poděkování za pomoc zaslouží Yepeng Pan a Prof. Dr. Christian Rossow.

libc

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

libpthread

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

libxml2

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

Lockdown Mode

Poděkování za pomoc zaslouží Pyrophoria a Ethan Day, kado.

mDNSResponder

Poděkování za pomoc zaslouží Barrett Lyon.

MediaRemote

Poděkování za pomoc zaslouží Dora Orak.

Sandbox Profiles

Poděkování za pomoc zaslouží Rosyna Keller z Totally Not Malicious Software.

Transparency

Poděkování za pomoc zaslouží Wojciech Regula ze SecuRing (wojciechregula.blog) a 要乐奈.

WebKit

Poděkování za pomoc zaslouží Bob Lord, Matthew Liang, Mike Cardwell z grepular.com.

Wi-Fi

Poděkování za pomoc zaslouží Aobo Wang (@M4x_1997), Csaba Fitzl (@theevilbit) z Kandji, Noah Gregory (wts.dev), Wojciech Regula ze SecuRing (wojciechregula.blog) a anonymní výzkumník.