Informace o bezpečnostním obsahu iOS 26.4 a iPadOS 26.4

Tento dokument popisuje bezpečnostní obsah iOS 26.4 a iPadOS 26.4.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 26.4 a iPadOS 26.4

Vydáno 24. března 2026

802.1X

K dispozici pro: iPhone 11 a novější, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 8. generace a novější a iPad mini 5. generace a novější

Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit zachycovat síťový provoz.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-28865: Héloïse Gollier a Mathy Vanhoef (KU Leuven)

Accounts

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-28877: Rosyna Keller z Totally Not Malicious Software

App Protection

K dispozici pro: iPhone 11 a novější

Dopad: Útočník s fyzickým přístupem k iOS zařízení s povolenou volbou Ochrana odcizených zařízení může být schopen získat přístup k chráněným aplikacím s biometrickým zabezpečením pomocí kódu.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2026-28895: Zack Tickman

Audio

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-28879: Justin Cohen ze společnosti Google

Audio

Dopad: Útočníkovi se může podařit způsobit neočekávané ukončení aplikace.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2026-28822: Jex Amro

Baseband

Dopad: Útočníkovi se může podařit způsobit neočekávané ukončení aplikace.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2026-28874: Hazem Issa, Tuan D. Hoang a Yongdae Kim @ SysSec, KAIST

Baseband

K dispozici pro: iPhone 16e

Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-28875: Tuan D. Hoang a Yongdae Kim @ KAIST SysSec Lab

Calling Framework

Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2026-28894: anonymní výzkumník

Clipboard

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Dopad: Zpracování zvukového streamu ve škodlivě vytvořeném mediálním souboru může ukončit proces.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2026-20690: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CoreUtils

Dopad: Uživateli s vysokými oprávněními v síti se může podařit způsobit odmítnutí služby.

Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování vstupů.

CVE-2026-28886: Etienne Charron (Renault) a Victoria Martini (Renault)

Crash Reporter

Dopad: Aplikace může zobrazit výčet nainstalovaných aplikací uživatele.

Popis: Problém s ochranou soukromí byl vyřešen odstraněním citlivých dat.

CVE-2026-28878: Zhongcheng Li z IES Red Team

curl

Dopad: V nástroji curl docházelo k problému, který mohl vést k neúmyslnému odesílání citlivých informací přes nesprávné připojení.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-14524

DeviceLink

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s parsováním ve zpracování cest adresářů byl vyřešen lepším ověřováním cest.

CVE-2026-28876: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs

GeoServices

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Únik informací byl řešen dodatečným ověřením.

CVE-2026-28870: XiguaSec

iCloud

Dopad: Aplikace může zobrazit výčet nainstalovaných aplikací uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-28880: Zhongcheng Li z IES Red Team

CVE-2026-28833: Zhongcheng Li z IES Red Team

ImageIO

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

CVE-2025-64505

Kernel

Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2026-28868: 이동하 (Lee Dong Ha z BoB 0xB6)

Kernel

Dopad: Aplikaci se může podařit odhalit citlivé informace o stavu jádra.

Popis: Problém byl vyřešen vylepšením ověření.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-20698: DARKNAVY (@DarkNavyOrg)

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo zapisovat do paměti jádra.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-20687: Johnny Franks (@zeroxjf)

libxpc

Dopad: Aplikace může zobrazit výčet nainstalovaných aplikací uživatele.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-28882: Ilias Morad (A2nkF) z Voynich Group, Duy Trần (@khanhduytran0), @hugeBlack

Mail

Dopad: Volby „Skrýt IP adresu“ a „Blokovat veškerý vzdálený obsah“ se nemusí použít na veškerý obsah pošty.

Popis: Problém se soukromím byl vyřešen lepším zpracováváním uživatelských předvoleb.

CVE-2026-20692: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs

Printing

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2026-20688: wdszzml a Atuin Automated Vulnerability Discovery Engine

Sandbox Profiles

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-28863: Gongyu Ma (@Mezone0)

Security

Dopad: Místní útočník může získat přístup k položkám v uživatelově klíčence.

Popis: Problém byl vyřešen vylepšením kontroly oprávnění.

CVE-2026-28864: Alex Radocea

Siri

Dopad: Útočníkovi s fyzickým přístupem k zařízení se může podařit zobrazit citlivé informace o uživatelích.

Popis: Problém byl vyřešen vylepšením ověřování.

CVE-2026-28856: anonymní výzkumník

Telephony

Dopad: Vzdálenému uživateli se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-28858: Hazem Issa a Yongdae Kim @ SysSec, KAIST

UIFoundation

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením ověřování vstupů.

CVE-2026-28852: Caspian Tarafdar

WebKit

Dopad: Kvůli zpracování škodlivého webového obsahu nemusí být vynucena zásada zabezpečení obsahu.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k obejití zásady stejného původu.

Popis: Problém se získáváním dat napříč původy v rozhraní API navigace byl vyřešen vylepšením ověřování vstupů.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Dopad: Návštěva škodlivého webu může vést ke skriptovému útoku napříč weby.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 306136

CVE-2026-20664: Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky & Switch, Yevhen Pervushyn

WebKit Bugzilla: 307723

CVE-2026-28857: Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea, Nathaniel Oh (@calysteon)

WebKit

Dopad: Škodlivý web může získat přístup k obslužným rutinám zpráv skriptu určeným pro jejich původ.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu a Shuaike Dong z Ant Group Infrastructure Security Team

WebKit

Dopad: Škodlivému webu se může podařit zpracovat omezený obsah webu mimo sandbox.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 308248

CVE-2026-28859: greenbynox, Arni Hardarson

WebKit Sandboxing

Dopad: Škodlivému webu se může podařit vytvořit reprezentaci uživatele.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

WebKit Bugzilla: 306827

CVE-2026-20691: Gongyu Ma (@Mezone0)

Další poděkování

Accessibility

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) ze společnosti Safran Mumbai India, Jacob Prezant (prezant.us).

AirPort

Poděkování za pomoc zaslouží Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari, Omid Rezaii.

App Protection

Poděkování za pomoc zaslouží Andr.Ess.

Bluetooth

Poděkování za pomoc zaslouží Hamid Mahmoud.

Captive Network

Poděkování za pomoc zaslouží Kun Peeks (@SwayZGl1tZyyy).

CipherML

Poděkování za pomoc zaslouží Nils Hanff (@nils1729@chaos.social) z Hasso Plattner Institute.

CloudAttestation

Poděkování za pomoc zaslouží Suresh Sundaram, Willard Jansen.

CoreUI

Poděkování za pomoc zaslouží Peter Malone.

Find My

Poděkování za pomoc zaslouží Salemdomain.

GPU Drivers

Poděkování za pomoc zaslouží Jian Lee (@speedyfriend433).

ICU

Poděkování za pomoc zaslouží Jian Lee (@speedyfriend433).

Kernel

Poděkování za pomoc zaslouží DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville z Fuzzinglabs, Patrick Ventuzelo z Fuzzinglabs, Robert Tran, Suresh Sundaram.

libarchive

Poděkování za pomoc zaslouží Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs, Arni Hardarson.

libc

Poděkování za pomoc zaslouží Vitaly Simonovich.

Libnotify

Poděkování za pomoc zaslouží Ilias Morad (@A2nkF_).

LLVM

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

mDNSResponder

Poděkování za pomoc zaslouží William Mather.

Messages

Poděkování za pomoc zaslouží JZ.

MobileInstallation

Poděkování za pomoc zaslouží Gongyu Ma (@Mezone0).

Music

Poděkování za pomoc zaslouží Mohammad Kaif (@_mkahmad | kaif0x01).

NetworkExtension

Poděkování za pomoc zaslouží Jianfeng Chen z yq12260 ze společnosti Intretech.

Notes

Poděkování za pomoc zaslouží Dawuge z Shuffle Team a Hunan University.

Notifications

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology v Bhópálu v Indii.

ppp

Poděkování za pomoc zaslouží Dave G.

Quick Look

Poděkování za pomoc zaslouží Wojciech Regula ze SecuRing (wojciechregula.blog), anonymní výzkumník.

Safari

Poděkování za pomoc zaslouží @RenwaX23, Bikesh Parajuli, Farras Givari, Syarif Muhammad Sajjad, Yair.

Safari Private Browsing

Poděkování za pomoc zaslouží Jaime Gallego Matud.

Shortcuts

Poděkování za pomoc zaslouží Waleed Barakat (@WilDN00B) a Paul Montgomery (@nullevent).

Siri

Poděkování za pomoc zaslouží Anand Mallaya, technický konzultant z Anand Mallaya and Co., Harsh Kirdolia, Hrishikesh Parmar ze Self-Employed.

Spotlight

Poděkování za pomoc zaslouží Bilge Kaan Mızrak, Claude & Friends: Risk Analytics Research Group, Zack Tickman.

Status Bar

Poděkování za pomoc zaslouží Sahel Alemi.

Telephony

Poděkování za pomoc zaslouží Xue Zhang, Yi Chen.

Time Zone

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) ze společnosti Safran Mumbai India.

UIKit

Poděkování za pomoc zaslouží AEC, Abhay Kailasia (@abhay_kailasia) ze společnosti Safran Mumbai India, Ben Gallagher, Bishal Kafle (@whoisbishal.k), Carlos Luna (Ministerstvo námořnictva USA), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12, incredincomp.

Wallet

Poděkování za pomoc zaslouží Zhongcheng Li z týmu IES Red Team společnosti ByteDance.

Web Extensions

Poděkování za pomoc zaslouží Carlos Jeurissen, Rob Wu (robwu.nl).

WebKit

Poděkování za pomoc zaslouží Vamshi Paili, greenbynox a anonymní výzkumník.

WebKit Process Model

Poděkování za pomoc zaslouží Joseph Semaan.

Wi-Fi

Poděkování za pomoc zaslouží Kun Peeks (@SwayZGl1tZyyy), anonymní výzkumník.

Wi-Fi Connectivity

Poděkování za pomoc zaslouží Alex Radocea ze Supernetworks, Inc.

Widgets

Poděkování za pomoc zaslouží Marcel Voß, Mitul Pranjay, Serok Çelik.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 27. března 2026