.inline-media-container.loading { background: none; } .inline-media-container.loading::after, .inline-media-container.loading-empty::after { display: none; content: none; } .inline-media-container.loading video { display: block !important; }

Informace o bezpečnostním obsahu macOS Golden Gate 27

Tento dokument popisuje bezpečnostní obsah macOS Golden Gate 27.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

macOS Golden Gate 27

Vydáno 14. září 2026

Accelerate Framework

K dispozici pro: MacBook Neo (2026), MacBook Air s čipem Apple (2020 a novější), MacBook Pro s čipem Apple (2020 a novější), iMac s čipem Apple (2021 a novější), Mac mini s čipem Apple (2020 a novější), Mac Studio (2022 a novější) a Mac Pro s čipem Apple (2023)

Dopad: Zpracování škodlivého obrázku může vést k neočekávanému ukončení procesu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-86882: Peter Malone

Accessibility

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením ochrany dat.

CVE-2026-43664: Stuart Wallace, Ilya Andr (andrd3v), Rosyna Keller ze společnosti Totally Not Malicious Software, CJ Vana, David Strnadel, Daniel Febrero, Asaf Cohen, Gongyu Ma (@Mezone0), Jian Lee (@speedyfriend433)

Accounts

Dopad: Škodlivé aplikaci se může podařit obejít předvolby soukromí.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-65404: Arni Hardarson (Neonix Security), Vinay Kumar Rasala (Xplo8E) ze společnosti Appknox, Stuart Wallace, 이재영

APFS

Dopad: Aplikaci se může podařit získat přístup k omezeným souborům.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování cest.

CVE-2026-86910: anonymní výzkumník

APFS

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo zapisovat do paměti jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84523: Cem Onat Karagun, anonymní výzkumník

App Store

Dopad: Místní aplikaci se může podařit přečíst trvalý identifikátor účtu.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-86888: Zhongcheng Li (CK01)

AppKit

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-84587: anonymní výzkumník

Apple Account

Dopad: Škodlivé aplikaci se může podařit odhalit citlivé uživatelské informace.

Popis: Problém s odhalováním informací byl vyřešen vylepšením správy stavu.

CVE-2026-84586: Prashan Samarathunge, Zhongcheng Li (CK01)

Apple Account

Dopad: Aplikaci se může podařit zneužít proces Přihlášení přes Apple k získání přístupu k uživatelově účtu Apple.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-20683: Dem0ns (@天府简易信工作室), Abdelhak Kherroubi, Jasminder Pal Singh, Lehan Dilusha Jayasingha (Sri Lanka)

Apple Intelligence

Dopad: Aplikaci se může podařit obejít bezpečnostní výzvy Apple Intelligence.

Popis: Problém s oprávněními byl vyřešen vylepšením správy stavu.

CVE-2026-84601: Nick Cook, Sentry Flag

Apple Neural Engine

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-65408: tamdao

AppleAVD

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-65407: Franco Belman ze společnosti Blackwing Intelligence

AppleDouble

Dopad: Připojení obrazu disku obsahujícího škodlivé soubory může vést k neočekávanému ukončení systému.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84519: Richard Zana

AppleFDEKeyStore

Dopad: Místnímu útočníkovi se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením ověřování velikosti.

CVE-2026-84520: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

AppleMobileFileIntegrity

Dopad: Škodlivé aplikaci se může podařit dostat se ze sandboxu.

Popis: V kontrole oprávněnosti existoval problém s ověřováním. Problém byl vyřešen vylepšením ověřování oprávněnosti procesu.

CVE-2026-65381: Mickey Jin (@patch1t)

Archive Utility

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením zpracování symbolických odkazů.

CVE-2026-84584: Mickey Jin (@patch1t)

Archive Utility

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém se souběhem byl vyřešen vylepšením správy stavů.

CVE-2026-84522: Mickey Jin (@patch1t)

ATS

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2026-84525: D4rthL

ATS

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování.

CVE-2026-65342: Ahmed Alwardani, Mohamad Dawoud / Abodi Dawoud

Authentication Services

Dopad: Aplikaci se může podařit smazat ověřovací údaje uložené v Klíčence.

Popis: Problém byl vyřešen odebráním zranitelného kódu.

CVE-2026-86905: Ilya Andr (andrd3v)

AuthKit

Dopad: Místní aplikaci se může podařit přečíst trvalý identifikátor účtu.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-84583: Zhongcheng Li z týmu IES Red Team

autofs

Dopad: Aplikaci se můžeš podařit obejít kontroly Gatekeeperu.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-84570: Mr.Gedik (@h4ck2s3c)

autofs

Dopad: Útočníkovi, který ovládá server se síťovým adresářem, se může podařit spustit libovolný kód s kořenovými oprávněními.

Popis: Problém typu path traversal byl vyřešen vylepšením ověřování cest.

CVE-2026-84568: Mr.Gedik (@h4ck2s3c) ze společnosti Turkish Technology

Automator

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84535: Kun Peeks (@SwayZGl1tZyyy), Oren Yomtov, Morris Richman (@morrisinlife), Sindre Sorhus

AVEVideoEncoder

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2026-65410: Calif.io ve spolupráci s Claudem a týmem Anthropic Research

AVEVideoEncoder

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2026-84616: Peter Malone

AVEVideoEncoder

Dopad: Aplikaci běžící v sandboxu se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém se souběhem byl vyřešen vylepšením správy stavů.

CVE-2026-84607: Ruslan Dautov

BackgroundAssets

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém v logice byl vyřešen vylepšením ověřování.

CVE-2026-65406: Ye Zhang (@VAR10CK) z týmu Baidu Security

Bluetooth

Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65414

Bluetooth

Dopad: Aplikace může získat neoprávněný přístup k Bluetooth.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84560: anonymní výzkumník

Bluetooth

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2026-84631: Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs

cd9660

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-84567: Sanny Mitra, Sihyun Roh (Compsec, SNU), ngockhanh z týmu Cystack, Ataberk Yavuzer, 정우 하 (@0xfa11babe), Kun Peeks (@SwayZGl1tZyyy), Surej Sekhar, Suresh Sundaram, Hari Shanmugam (The Hxr1)

copyfile

Dopad: Archiv může být schopen obejít Gatekeeper.

Popis: Obcházení karantény souboru bylo vyřešeno dodatečnými kontrolami.

CVE-2026-65399: Rishabh Jain (rjcyber) z týmu cyberplanet, Pasquale Scola, anonymní výzkumník

Core Bluetooth

Dopad: Aplikaci se může podařit získat přístup k informacím o Bluetooth zařízení.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-86891: Dawuge ze Shuffle Teamu

CoreDrag

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení procesu nebo odhalit paměť procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-43683: Nathaniel Oh (@calysteon)

CoreMedia

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu.

CVE-2026-43789: 이재영

CoreMedia

Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen odstraněním zranitelného kódu.

CVE-2026-64752: Nik Tsytsarkin

CoreMedia

Dopad: Procesu běžícímu v sandboxu se může podařit obejít omezení sandboxu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-86876: Chris Bailey – Short Circuit

CoreMedia

Dopad: Zpracování škodlivého souboru videa může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65344: Siyeong kim

CoreML

Dopad: Aplikaci běžící v sandboxu se může podařit dostat se k omezeným souborům.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování cest.

CVE-2026-84624: AL Najafi, tamdao

CoreMotion

Dopad: Aplikaci se může podařit dostat se k pohybovým datům ze sluchátek i bez uživatelova souhlasu.

Popis: Problém s autorizací byl vyřešen vylepšením ověřování.

CVE-2026-43737: Stuart Wallace

CoreServices

Dopad: Aplikaci se může podařit obejít předvolby soukromí.

Popis: Problém s oprávněními byl vyřešen vylepšením správy stavu.

CVE-2026-84574: Mickey Jin (@patch1t)

CoreServices

Dopad: Škodlivé aplikaci se může podařit získat přístup k omezeným souborům.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování.

CVE-2026-84559: Ryan Hughes

CoreServices

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2026-43786: Kujtim Kryeziu (Sentry)

CoreText

Dopad: Zpracování webového obsahu může vést k odepření služby.

Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování vstupů.

CVE-2026-65412: Pavan Nallamothu

CoreText

Dopad: Zpracování škodlivého písma může vést k odhalení procesní paměti.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84596: ret2happy, Meta Product Security

CoreUI

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84575: Mustafa Calap (@ordinal0, dbg.re)

CoreUI

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84489: stratan (@5tratan), Peter Malone

CoreUI

Dopad: Zpracování škodlivého obrázku může vést k neočekávanému ukončení aplikace.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84571: stratan (@5tratan), Peter Malone

CoreUI

Dopad: Zpracování škodlivého katalogu prostředků může vést k odhalení paměti procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-43738: Peter Malone

CoreUI

Dopad: Zpracování škodlivého katalogu zdrojů může vést k neočekávanému ukončení procesu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84511: Rahul Raj, stratan (@5tratan)

CUPS

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-84563: Yongyue WANG AKA Brian.W ze společnosti OKX security, Omar Cerrito

CUPS

Dopad: Uživateli s vysokými oprávněními v síti se může podařit způsobit odmítnutí služby.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2026-34979: Tristan Madani (@TristanInSec) ze společnosti Talence Security, Юлия Мерцалова

CUPS

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém s vložením kódu byl vyřešen vylepšením ověřování.

CVE-2026-43698: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs

CUPS

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2026-64790: Aaron Grattafiori – NVIDIA AI Red Team

CUPS

Dopad: Vzdálený uživatel může způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

Popis: Problém s ověřováním byl vyřešen vylepšením sanitizace vstupů.

CVE-2026-43692: Aaron Grattafiori – NVIDIA AI Red Team

CUPS

Dopad: Uživateli s vysokými oprávněními v síti se může podařit způsobit odmítnutí služby.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84554: Joseph Shamoon, Meshaal @ Darkcov

CUPS

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2026-43691: Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs

CUPS

Dopad: Aplikaci se může podařit získat přístup k omezeným souborům.

Popis: Problém s ověřováním vstupů byl vyřešen vylepšením ověřování vstupů.

CVE-2026-84541: 章鱼哥@aipy (aipyaipy.com)

CUPS

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84540: Yongyue WANG AKA Brian.W ze společnosti OKX security, 章鱼哥@aipy (aipyaipy.com), instantraaamen (github.com/instantraaamen), kontakt: masa.shiramizu@gmail.com

CUPS

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace nebo odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84516: 章鱼哥@aipy (aipyaipy.com)

DeviceCheck

Dopad: Aplikaci se může podařit přečíst trvalé identifikátory zařízení.

Popis: Problém s autorizací byl vyřešen vylepšením řízení přístupu.

CVE-2026-84612: N.M.Praveen Nawarathne (@zblockrat), James Gill (@jjtech@infosec.exchange)

Directory Utility

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84505: Tommy DeVoss z týmu Braze Security Team (@thedawgyg)

Disk Images

Dopad: Zpracování škodlivého obrazu disku může vést k neočekávanému ukončení aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84565: Nathaniel Oh (@calysteon)

Disk Images

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-84552: Tommy DeVoss z týmu Braze Security Team (@thedawgyg), flower xu, Adriatik Raci, PETOWORKS의 Bugeun Choi (@Bugeun), Peter Malone, Daisuke Hatakeyama a Ryohei Ueki (@SYZD Research), Hyunwoo Kim (@v4bel)

Disk Images

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2026-84550: Daisuke Hatakeyama a Ryohei Ueki (@SYZD Research), Hyunwoo Kim (@v4bel)

Disk Images

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-65362: Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs, Adriatik Raci, Manish Bhatt, Amazon Leo Security, Nathaniel Oh (@calysteon)

Disk Images

Dopad: Připojení škodlivého obrazu disku může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84512: Daisuke Hatakeyama a Ryohei Ueki (@SYZD Research)

exFAT

Dopad: Připojení škodlivého diskového svazku může způsobit neočekávané ukončení systému.

Popis: Problém s přetečením haldy vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84510: Meta Red Team X - Nik Tsytsarkin, Richard Zana

exFAT

Dopad: Připojení škodlivého svazku exFAT může způsobit neočekávané ukončení systému nebo odhalit paměť jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-86901: anonymní výzkumník

exFAT

Dopad: Připojení škodlivého svazku exFAT může způsobit neočekávané ukončení systému nebo odhalit paměť jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupu.

CVE-2026-86900: ngockhanh ze společnosti Cystack, anonymní výzkumník

File Bookmark

Dopad: Aplikaci se může podařit upravit soubor, u kterého má přístup jen ke čtení.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-43785: Junyeong Lee (jylab.github.io), Merrick Hare, Aditya Kumar, John Nzyuko Uvyu, Narendra Singh (@_3P1C)

file_cmds

Dopad: Rozbalení škodlivého archivu může útočníkovi umožnit zápis libovolných souborů.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2026-84534: Geoffrey Lovelace

Filters

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2026-43688: Peter Malone

FontParser

Dopad: Zpracování škodlivého souboru písma může vést k neočekávanému ukončení aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84524: anonymní výzkumník

FontParser

Dopad: Zpracování škodlivého písma může vést k odhalení procesní paměti.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupu.

CVE-2026-84597: Nik Tsytsarkin

Foundation

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu pro systémové schránky.

CVE-2026-84569: Yurii Bakurov, Sindre Sorhus, Asaf Cohen

Foundation

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém se záměnou typů byl vyřešen vylepšením správy paměti.

CVE-2026-65409: Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

Foundation

Dopad: Škodlivé aplikaci se může podařit obejít ochrany před clickjackingem při bezpečnostních výzvách.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2026-86911: Ron Masas z týmu BreakPoint.SH, anonymní výzkumník

Game Center

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování.

CVE-2026-84618: Luke Symons

Graphics

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se souběhem byl vyřešen vylepšením zpracování stavů.

CVE-2026-84492: Tommy DeVoss z týmu Braze Security Team (@thedawgyg), Jiyong Yang

Heimdal

Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit pozměnit síťový provoz.

Popis: Problém s šifrováním byl vyřešen vylepšením kontrol integrity.

CVE-2026-84533: Vishal Patidar, Roman Zabicki

Heimdal

Dopad: Uživateli s vysokými oprávněními v síti se může podařit odhalit citlivá uživatelská data.

CVE-2022-3437: Roman Zabicki

HFS

Dopad: Připojení škodlivého obrazu disku může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84581: Feng Xue a XGPT ze společnosti ThreatBook, Alfredo Pesoli (@__rev) z týmu Bynar.io, Jonathan Bar Or (@yo_yo_yo_jbo)

HFS

Dopad: Připojení škodlivého obrazu disku může způsobit neočekávané ukončení systému.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-28934: Arni Hardarson (Neonix Security), Tristan Madani (@TristanInSec) ze společnosti Talence Security, 정우 하, Aswin Kumar Gokulakannan, Peter Malone, Dun

iCloud

Dopad: Aplikaci se může podařit identifikovat uživatele i po odinstalování a přeinstalování.

Popis: Problém se soukromím byl vyřešen vylepšením práce s identifikátory.

CVE-2026-84606: Ilya Andr (andrd3v)

Image Capture

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém se zpracováváním cest byl vyřešen vylepšením ověřování.

CVE-2026-64756: Luke Symons

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k odmítnutí služeb.

Popis: Problém s poškozením paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-64714: anonymní výzkumník

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k odhalení paměti procesu.

Dopad: Problém s neinicializovanou pamětí byl opraven vylepšením inicializace paměti.

CVE-2026-84564: Justin O'Leary

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-86869: Chris Bailey – Short Circuit, Meta Red Team X, Niels Hofmans, Geonha Lee (@leegn4a)

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k poškození paměti.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65395: Mateusz Jurczyk z týmu Google Project Zero, Varik Matevosyan

IOKit

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-28969: Mihalis Haatainen, Ashish Kunwar, Ari Hawking, 이재영

IOMobileFrameBuffer

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2026-65398: Chris Bailey – Short Circuit, Mustafa Calap (@ordinal0, dbg.re), David Strnadel, Meta Red Team X – Nik Tsytsarkin

IOSurfaceAccelerator

Dopad: Aplikaci se může podařit odhalit citlivé informace o stavu jádra.

Popis: Únik informací byl řešen dodatečným ověřením.

CVE-2026-64760: anonymní výzkumník, Seiji Sakurai (@HeapSmasher), Franco Belman ze společnosti Blackwing Intelligence

iWork

Dopad: Škodlivé aplikaci se může podařit dostat se ze sandboxu.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-65354: Csaba Fitzl (@theevilbit) ze společnosti Iru

Kernel

Dopad: Připojení škodlivého obrazu disku může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s poškozením paměti byl vyřešen odstraněním zranitelného kódu.

CVE-2026-84588: Narendra Singh (@_3P1C), Nathaniel Oh (@calysteon), anonymní výzkumník

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-28968: genter0, Svetoslav Stolarov a Aisa Fox, Josh Maine z týmu Calif.io, Dun

Kernel

Dopad: Místnímu útočníkovi se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-84566: Bernhard Jackiewicz

Kernel

Dopad: Místnímu uživateli se může podařit způsobit neočekávané ukončení systému nebo číst paměť jádra.

Popis: Problém se souběhem byl vyřešen dodatečným ověřováním.

CVE-2026-65415: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd., Ryan Hileman prostřednictvím Xint Code (xint.io)

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s dvojitým uvolněním paměti byl vyřešen vylepšením správy paměti.

CVE-2026-84561: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd., Bhaswanth Chigurupati

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se souběhem byl vyřešen vylepšením zpracování stavů.

CVE-2026-84630: Tristan Madani (@TristanInSec) ze společnosti Talence Security

CVE-2026-65401: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

CVE-2026-65360: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

CVE-2026-65358: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s dvojitým uvolněním paměti byl vyřešen vylepšením správy paměti.

CVE-2026-84558: James Young

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2026-65377: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ye Zhang (@VAR10CK) z týmu Baidu Security

Kernel

Dopad: Aplikaci s kořenovými oprávněními se může podařit číst neinicializovanou paměť jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2026-84622: Hiroki Imai (LAC Co., Ltd.)

Kernel

Dopad: Připojení ke škodlivému NFS serveru může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84549: Aswin Kumar Gokulakannan, Surya Narayan Kushwaha

Kernel

Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-43689: Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo zapisovat do paměti jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84619: genter0, Eddy Tsalolikhin, James Duffy (@0x4A616D657344)

Kernel

Dopad: Škodlivá aplikace může obejít kontroly funkce Gatekeeper.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2026-65369: anonymní výzkumník

Kernel

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-86917: Hiroki Imai (LAC Co., Ltd.)

Kernel

Dopad: Připojení ke škodlivému NFS serveru může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84544: Abhijeet Singh (www.linkedin.com/in/abhiunix/), Surya Narayan Kushwaha

Kernel

Dopad: Vzdálenému útočníkovi se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-43790: Omar Cerrito

Kernel

Dopad: Připojení ke škodlivému serveru NFS může vést k odhalení paměti jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-43687: R4mbb z týmu KRsecurity, Peter Malone

Kernel

Dopad: Připojení ke škodlivému serveru NFS může vést k poškození paměti jádra.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-43686: Peter Malone

Kernel

Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením ověřování vstupů.

CVE-2026-84538: Stuart Thomas

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-43684: Peter Malone

Kernel

Dopad: Aplikaci se může podařit zjistit rozvržení paměti jádra.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2026-65405: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Vzdálenému útočníkovi se může podařit způsobit neočekávané ukončení systému.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65364: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.

Popis: Problém s odhalováním informací byl vyřešen vylepšením správy paměti.

CVE-2026-84530: Vladislav Shevchenko (Positive Technologies)

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-84521: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

CVE-2026-65402: Fábio Luís @scanpt, Richard Zana, Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Místnímu uživateli se může podařit způsobit neočekávané ukončení systému nebo číst paměť jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65359: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84517: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém se souběhem byl vyřešen vylepšením zpracování stavů.

CVE-2026-84507: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2026-86903: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se záměnou typů byl vyřešen vylepšením kontrol.

CVE-2026-84602: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

Kext Management

Dopad: Aplikaci se může podařit upravit chráněné části souborového systému.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2026-84514: Mohamed Wedatalla, Arjanit Isufi, Nathaniel Oh (@calysteon)

Keychain Access

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s autorizací byl vyřešen vylepšením řízení přístupu.

CVE-2026-84556: Adrián Díaz Aguilar, Chris Bailey – Short Circuit, Peter Malone, HvxyZLF

LaunchServices

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s parsováním ve zpracování cest adresářů byl vyřešen lepším ověřováním cest.

CVE-2026-65382: anonymní výzkumník

libarchive

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s přetečením haldy vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-86870: Kitten Food

libxpc

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-86894: Dave G.

libxpc

Dopad: Aplikaci se může podařit obejít omezení sandboxu.

Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu.

CVE-2026-84577: Dave G. a Alex Radocea z týmu supernetworks.org

Mail

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-84573: Dawuge ze Shuffle Teamu

Mail

Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit odhalit citlivá uživatelská data.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-43787: Armend Gashi

MediaRemote

Dopad: Aplikaci běžící v sandboxu se může podařit získat přístup k systémové Klíčence.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84628: Myeonghun Pak, Nathaniel Oh (@calysteon), Alan Banderas (@creeper4004)

Messages

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2026-43741: Dawuge ze Shuffle Teamu

MobileAccessoryUpdater

Dopad: Připojení škodlivého doplňku může způsobit neočekávané ukončení systému.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2026-86924: Matthew Zamat

Model I/O

Dopad: Otevření škodlivého souboru může vést k neočekávanému ukončení procesu.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením ověřování velikosti.

CVE-2026-84497: Yiğit Can YILMAZ (@yilmazcanyigit)

NetworkExtension

Dopad: Aplikaci se může podařit získat přístup k zařízením v místní síti bez uživatelova souhlasu.

Popis: Problém s oprávněními byl vyřešen vylepšením správy stavu.

CVE-2026-84585: Dmytro Merkulov

NetworkExtension

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-43695: Claudio Bozzato a Francesco Benvenuto ze společnosti Cisco Talos

NetworkExtension

Dopad: Aplikaci se může podařit zjistit, jaké další aplikace má uživatel nainstalované.

Popis: Problém s odhalováním informací byl vyřešen vylepšením správy stavu.

CVE-2026-84626: Sindre Sorhus, Hoffcona z týmu IES Red Team

NSDocument

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s parsováním ve zpracování cest adresářů byl vyřešen lepším ověřováním cest.

CVE-2026-86902: silo

odproxyd

Dopad: Aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-64712: Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs

Photos Storage

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-84491: anonymní výzkumník

quarantine

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2026-84580: anonymní výzkumník

quarantine

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-84578: Kenneth Chew

QuartzCore

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-84576: Dora Orak, @Ethan Arbuckle a @leptos_null

Quick Look

Dopad: Zpracování škodlivého dokumentu může vést ke čtení mimo rozsah.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84548: Peter Malone

RealityKit

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-28966: stratan (@5tratan)

RealityKit

Dopad: Otevření škodlivého souboru může způsobit neočekávané ukončení procesu nebo odhalit paměť procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupu.

CVE-2026-84532: Hongsik Kim (mnur), stratan (@5tratan)

Reminders

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-65403: Rahul Raj

Safari

Dopad: Škodlivému webu se může podařit zjistit, které aplikace má uživatel nainstalované.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2026-84518: Bálint Magyar (balintmagyar.com)

Safe Browsing

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2026-86897: Stuart Wallace

Sandbox

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Existoval problém ve zpracování snímků. Problém byl vyřešen vylepšením logiky oprávnění.

CVE-2026-65380: Kieran Klukas (taciturnaxolotl)

Sandbox

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s autorizací byl vyřešen vylepšením řízení přístupu.

CVE-2026-84555: Liu Xue a 九宫格 ze společnosti Chongqing Telecom

Sandbox

Dopad: Aplikaci se může podařit obejít omezení sítě.

Popis: Problém v logice byl vyřešen vylepšením ověřování.

CVE-2026-84551: Issa Sancho

Sandbox Profiles

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení pro sandbox.

CVE-2026-84625: Ilya Andr (andrd3v) ze společnosti Positive Technologies, CJ Vana

SceneKit

Dopad: Zpracování škodlivého 3D souboru může vést ke čtení mimo rozsah.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-43697: Peter Malone

SceneKit

Dopad: Zpracování škodlivého souboru může vést k odhalení paměti procesu.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84487: stratan (@5tratan), Dhiyanesh Selvaraj (@redroot97), Peter Malone

SceneKit

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-65413: Peter Malone

SceneKit

Dopad: Zpracování škodlivého 3D modelu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-84632: Peter Malone

SceneKit

Dopad: Zpracování škodlivého 3D modelu může vést k poškození paměti.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84620: Peter Malone

SceneKit

Dopad: Zpracování škodlivého 3D modelu může vést k poškození paměti.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84546: Narendra Singh (@_3P1C), stratan (@5tratan), Peter Malone

CVE-2026-84611: Nathaniel Oh (@calysteon)

SceneKit

Dopad: Zpracování škodlivé 3D scény může vést k neočekávanému ukončení procesu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84526: stratan (@5tratan)

Screen Sharing Server

Dopad: Útočníkovi v síti se může podařit ověřit ve funkci Sdílení obrazovky bez platných pověření.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-65400: Alfredo Pesoli (@__rev) prostřednictvím Bynario Atlas (bynar.io)

Security

Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit zachycovat síťový provoz.

Popis: Problém s ověřováním certifikátů byl vyřešen vylepšením ověřování certifikátů.

CVE-2026-86889: Jaeho Nam, Jungbum Lee, Sangwi Kang, Hyeonguk Ko a Taekyoung Kwon ze společnosti SNU CSE MMLAB (mmlab.snu.ac.kr)

Security

Dopad: Útočníkovi s kompromitovanou zprostředkovatelskou certifikátovou autoritou se může podařit vydávat certifikáty s libovolně širokými využitími.

Popis: Problém s ověřováním certifikátů byl vyřešen vylepšením ověřování certifikátů.

CVE-2026-86881: Surya Narayan Kushwaha, Roman Zabicki, John Lussier, Filip Olszak

Security

Dopad: Zpracování škodlivého vstupu NTLM může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84531: Meshaal (@unrealmesh)

Shortcuts

Dopad: Škodlivé zkratce se může podařit odesílat zprávy bez uživatelova potvrzení.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84600: Owen Pawling (@owenpawling)

Siri

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-86884: Stanislav Jelezoglo, Gongyu Ma (twitter @Mezone0)

SMB

Dopad: Místnímu uživateli se může podařit číst paměť jádra.

Popis: Problém se souběhem byl vyřešen vylepšením zamykání.

CVE-2026-43690: Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

SMB

Dopad: Připojení škodlivého síťového úložiště SMB může vést k ukončení systému.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-43719: Jakob Pammer, Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

SMB

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65376: 재영 정, Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

SMB

Dopad: Připojení ke škodlivému SMB serveru může způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2026-84543: Peter Malone

SMB

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2026-84537: Feng Xue a XGPT ze společnosti ThreatBook, Peter Malone

SMB

Dopad: Připojení ke škodlivému serveru SMB může vést k neočekávanému ukončení systému.

Popis: Chyba s podtečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-84536: 재영 정, Feng Xue a XGPT ze společnosti ThreatBook, Peter Malone

SMB

Dopad: Připojení ke škodlivému SMB sdílení může vést k odhalení paměti jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-65365: Jay Patel, Peter Malone

SMB

Dopad: Připojení ke škodlivému SMB serveru může vést k poškození paměti jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84515: 재영 정, Peter Malone

SMB

Dopad: Připojení ke škodlivému serveru SMB může vést k neočekávanému ukončení systému.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84509: Dave G.

smbx

Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.

Popis: Problém s vyčerpáním zdrojů byl vyřešen vylepšením ověřování vstupů.

CVE-2026-84553: Stuart Thomas

Software Update

Dopad: Aplikaci se může podařit upravit chráněné systémové soubory.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování cest.

CVE-2026-84609: YingMuo (@YingMuo) z týmu DEVCORE Research Team

SoftwareUpdate

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-65361: Rodolphe BRUNETTI (@eisw0lf) ze společnosti Lupus Nova

Spotlight

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-65378: Abodi Dawoud, Sindre Sorhus, 糖豆爸爸(@晴天组织), Niels Hofmans, Robert Mindo

Spotlight

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s autorizací byl vyřešen vylepšením řízení přístupu.

CVE-2026-84621: Abodi Dawoud, Armend Gashi, Ujjwal Reddy Kalvolu Sreenivasa Reddy, Johan Wahyudi

Spotlight

Dopad: Zpracování škodlivého souboru může vést k odmítnutí služby nebo k potenciálnímu odhalení obsahu paměti.

Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.

CVE-2026-43788: Narendra Singh (@_3P1C), Ashish Kunwar

Storage

Dopad: Aplikaci se může podařit upravit chráněné části souborového systému.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-65348: Jérôme Djouder

Storage

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-65345: Seung Je Seong, Ilya Andr (andrd3v) ze společnosti Positive Technologies, Jakob Pammer, 이재영

StorageKit

Dopad: Aplikaci se může podařit číst libovolné soubory.

Popis: Problém s ověřováním byl vyřešen vylepšením sanitizace vstupů.

CVE-2026-43791: Meridian Miftari, Amy (amys.website), Aaron Grattafiori – NVIDIA AI Red Team

Symptom Framework

Dopad: Škodlivé aplikaci se může podařit určit aktuální polohu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen vylepšením redigování soukromých dat pro záznamy protokolu.

CVE-2026-84513: Sindre Sorhus

System Settings

Dopad: Aplikace může obejít kontroly Gatekeeperu.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2026-65383: Zhongquan Li (@Guluisacat)

System Settings

Dopad: Aplikaci se můžeš podařit obejít kontroly Gatekeeperu.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2026-86909: Koh M. Nakagawa (@tsunek0h) ze společnosti FFRI Security, Inc.

TCC

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2026-84527: Zeyang Li a Yuxiang Wang ze společnosti Chongqing Telecom

TCC

Dopad: Aplikaci se může podařit upravit předvolby soukromí.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2026-84589: anonymní výzkumník, Rodolphe Brunetti (@eisw0lf), Ryan Dowd (@_rdowd), Isaiah Ryan Ehlert (isaiahehlert@icloud.com), Csaba Fitzl (@theevilbit) ze společnosti Iru

Terminal

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2026-28937: Charlie Weiss, Noah Gregory (wts.dev)

Touch Bar

Dopad: Aplikaci se může podařit zachytit obsah Touch Baru bez svolení.

Popis: Problém s ověřováním byl vyřešen vylepšením kontrol oprávnění.

CVE-2026-43696: anonymní výzkumník

udf

Dopad: Aplikaci se může podařit způsobit neočekávané ukončení systému nebo číst paměť jádra.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2026-84572: Tomi (tk0) Koski (@tomikoski), Hari Shanmugam (The Hxr1)

udf

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2026-84506: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.

WebDAV

Dopad: Aplikace může obejít kontroly Gatekeeperu.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2026-28899: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs, Kraken Cryptocurrency Exchange

WebDAV

Dopad: Připojení ke škodlivému WebDAV serveru může vést ke spuštění kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2026-65374: HE WEI (ギカク), Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

WebDAV

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením ověřování.

CVE-2026-65375: YingMuo (@YingMuo) z týmu DEVCORE Research Team, Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

WebDAV

Dopad: Připojení ke škodlivému WebDAV serveru může vést k neočekávanému ukončení aplikace.

Popis: Problém se zápisem mimo rozsah byl vyřešen odstraněním zranitelného kódu.

CVE-2026-43677: bubu, Omar Cerrito, HE WEI (ギカク), Roman Zabicki, Richard Zana, Chris Bailey – Short Circuit, Aswin Kumar Gokulakannan, Surya Narayan Kushwaha, Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému ukončení procesu.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

WebKit Bugzilla: 310457

CVE-2026-84635: Souta Sugiyama

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.

Popis: Problém se oprávněním byl vyřešen odebráním zranitelného kódu.

WebKit Bugzilla: 315121

CVE-2026-64753: Viggo Lekdorf

WebKit

Dopad: Otevření škodlivého souboru webového archivu může vést k univerzálnímu skriptování napříč weby.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

WebKit Bugzilla: 3182711

CVE-2026-86898: Tomi Garcia (archyxsec)

WebKit Canvas

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 313935

CVE-2026-64718: Niels Hofmans, OGINOME Tomohito, anonymní výzkumník

Xcode IDE

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s oprávněními byl vyřešen vylepšením ověřování.

CVE-2026-65393: Mickey Jin (@patch1t)

XPC

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2026-84617: Stuart Wallace

Další poděkování

Accounts

Poděkování za pomoc zaslouží Wojciech Regula ze společnosti SecuRing (wojciechregula.blog).

adv_cmds

Poděkování za pomoc zaslouží Franco Belman ze společnosti Blackwing Intelligence.

AirPort

Poděkování za pomoc zaslouží Arni Hardarson (Neonix Security), Christian Figueroa, Dhiyanesh Selvaraj (@redroot97), Harish Santhanalakshmi Ganesan z týmu Cisco AI Defense a člen společnosti Cisco Talos, Niels Hofmans, Robert Mindo, Tae Woo Kim (CYTUR).

APFS

Poděkování za pomoc zaslouží Nick Max, Ruslan Dautov.

App Intents

Poděkování za pomoc zaslouží Adetayo Adebimpe.

Apple Account

Poděkování za pomoc zaslouží 糖豆爸爸(@晴天组织).

Apple Intelligence

Poděkování za pomoc zaslouží anonymní výzkumník.

Apple Online Store Kit

Poděkování za pomoc zaslouží Pietro Francesco Tirenna (shielder.com), Zhongcheng Li (CK01).

AppleEvents

Poděkování za pomoc zaslouží Noah Gregory (wts.dev).

AppleKeyStore

Poděkování za pomoc zaslouží Abdurrahman Nafi, Francisco Knabe, Karol Mazurek (@Karmaz95) z týmu AFINE, Somair Ansar, YOKI, anonymní výzkumník, 晓娟谢.

AVEVideoEncoder

Poděkování za pomoc zaslouží tamdao.

Bluetooth

Poděkování za pomoc zaslouží David Maynor, Jason Grove, Suresh Sundaram, Tae Woo Kim, jioundai.

Calendar

Poděkování za pomoc zaslouží Dany Assuid, Jacob Hazak ze společnosti Zero-Defense Labs, Varik Matevosyan, stratan (@5tratan).

cd9660

Poděkování za pomoc zaslouží anonymní výzkumník.

CipherML

Poděkování za pomoc zaslouží Nils Hanff (@nils1729@chaos.social) z týmu Hasso Plattner Institute.

CloudKit

Poděkování za pomoc zaslouží Hikerell (Loadshine Lab).

Compression

Poděkování za pomoc zaslouží Nathaniel Oh (@calysteon).

configd

Poděkování za pomoc zaslouží Mohammad Seet.

copyfile

Poděkování za pomoc zasloužíMorris Richman (@morrisinlife) a Jian Lee (@speedyfriend433).

CoreAudio

Poděkování za pomoc zaslouží Patrick Saif / x.com / weezerOSINT / github.com / sai2fast.

CoreBluetooth - LE

Poděkování za pomoc zaslouží Ashmit Sharma a Atul RV, Dun, Maliq Barnard, Nicholas C. ze společnosti Onymos Inc. (onymos.com), Peter Malone, Robert M.

CoreGraphics

Poděkování za pomoc zaslouží Gandalf4a z institutu PKU-Changsha Institute for Computing and Digital Economy.

CoreMedia

Poděkování za pomoc zaslouží Chris Bailey – Short Circuit.

CoreSymbolication

Poděkování za pomoc zaslouží Maher Azzouzi.

CoreText

Poděkování za pomoc zaslouží Jian Lee (@speedyfriend433).

CoreUI

Poděkování za pomoc zaslouží Andrew Boni, Peter Malone.

CUPS

Poděkování za pomoc zaslouží Aaron Grattafiori – NVIDIA AI Red Team, Andreas Jaegersberger a Ro Achterberg ze společnosti Nosebeard Labs, Katika Mohaseen, Roman Zabicki, Sanny Mitra, Yongyue WANG AKA Brian.W z týmu OKX Security, anonymní výzkumník.

DataAccess

Poděkování za pomoc zaslouží Adetayo Adebimpe (Cyboghostginx).

Disk Images

Poděkování za pomoc zaslouží Noah Gregory (wts.dev), Peter Malone.

DiskArbitration

Poděkování za pomoc zaslouží Arni Hardarson (Neonix Security), FRO, Mustafa Ahmed, Thomas Guillem, 九宫格 ze společnosti Chongqing Telecom.

dyld

Poděkování za pomoc zaslouží Krishna Agarwal (Kr1shna4garwal).

FaceTime

Poděkování za pomoc zaslouží Souhaib Naceri.

Family Sharing

Poděkování za pomoc zaslouží Robert Mindo.

Files

Poděkování za pomoc zaslouží anonymní výzkumník.

Finder

Poděkování za pomoc zaslouží Brian McNulty, Michael Telloyan.

Heimdal

Poděkování za pomoc zaslouží Roman Zabicki.

HFS

Poděkování za pomoc zaslouží Anton Pakhunov, anonymní výzkumník.

iCloud

Poděkování za pomoc zaslouží 3ndy1(@_3ndy1) a moyu, Gabriel Rodrigues z týmu Hakai, l3lue.

Identity Services

Poděkování za pomoc zaslouží Ismael Esquilichi a Pablo Redondo (cmdresearch).

ImageIO

Poděkování za pomoc zasloužíMuhamad Syaiful, anonymní výzkumník, songbird.

Installer

Poděkování za pomoc zaslouží John Woodman, Mahmoud Abdelmoniem, Meridian Miftari, Niels Hofmans, anonymní výzkumník.

IOMobileFrameBuffer

Poděkování za pomoc zaslouží Iain Harkiss, Jian Lee (@speedyfriend433).

IOSurfaceAccelerator

Poděkování za pomoc zaslouží Chanwit Muenprakoddee (ChemIndy), Franco Belman ze společnosti Blackwing Intelligence, Iain Harkiss, anonymní výzkumník, beist, hxr1.

Kernel

Poděkování za pomoc zaslouží Ahmed Alwardani, Aswin Kumar Gokula Kannan, Bhaswanth Chigurupati, Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd., Cem Onat Karagun, DARKNAVY (@DarkNavyOrg), Gil Portnoy a Henry, James Duffy (@0x4A616D657344), Kang Sangkwun, Lyutoon, N.M.Praveen Nawarathne (@zblockrat), Nebula Security (@nebusecurity), Nicolas Seriot, Peter Malone, Redon Gashi ze společnosti Sentry, Robert Tran, Suresh Sundaram, Tristan Madani (@TristanInSec) ze společnosti Talence Security, Xiang Li z týmu AOSP Lab @Nankai University, anonymní výzkumník.

libarchive

Poděkování za pomoc zaslouží Roman Zabicki, Surya Narayan Kushwaha, Paulos Yibelo, Sidharth Rajalakshmi.

libxpc

Poděkování za pomoc zaslouží Fábio Luís (@scanpt), anonymní výzkumník.

Local Authentication

Poděkování za pomoc zaslouží Ashish Kunwar.

LoginWindow

Poděkování za pomoc zaslouží Thomas Guillem.

mDNSResponder

Poděkování za pomoc zaslouží Anton Pakhunov, Franciszek Kalinowski (striga.ai / isec.pl), Hannes Weissteiner, Roland Czerny, Simone Franza, Stefan Gast a Daniel Gruss z Technologické univerzity v Grazu a Johanna Ullrich z Univerzity interdisciplinární transformace (IT:U), Issa Sancho, Jian Zhou, 章鱼哥@aipy (aipyaipy.com).

ncurses

Poděkování za pomoc zaslouží Yashashree Gund.

Notifications

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) ze společnosti Safran Mumbai India, Himanshu Bharti @Xpl0itme ze společnosti Khatima, Jan Rokita (rokita.me).

PaperKit

Poděkování za pomoc zaslouží Rahul Raj.

Passwords

Poděkování za pomoc zaslouží Catalin Lita ze společnosti Moralis, Christian Kohlschütter, David Coomber ze společnosti Info-Sec.CA, Lukasz Tulikowski ze společnosti Software Cloud, Sujay Amin, anonymní výzkumník.

ppp

Poděkování za pomoc zaslouží Cem Onat Karagun.

Pro Res

Poděkování za pomoc zaslouží Meta Red Team X – Nik Tsytsarkin.

quarantine

Poděkování za pomoc zaslouží anonymní výzkumník.

Quick Look

Poděkování za pomoc zaslouží Peter Malone.

RemoteServiceDiscovery

Poděkování za pomoc zaslouží Tristan Madani (@TristanInSec) ze společnosti Talence Security, anonymní výzkumník.

Safari

Poděkování za pomoc zaslouží Dem0ns @天府简易信工作室.

Safari Downloads

Poděkování za pomoc zaslouží Barath Stalin K (linkedin.com/in/barathstalin), Exell Nakano, Manojkumar Jaganathan (linkedin.com/in/manojkumar-j-7ba35b202/) ve spolupráci s HackerBro Technologies, Praditya Fajar Ramadhan, Zhiyang Zeng (@Wester), shobhit srivastav.

Sandbox

Poděkování za pomoc zaslouží Asaf Cohen.

Screen Sharing

Poděkování za pomoc zaslouží Asaf Cohen.

Security

Poděkování za pomoc zaslouží Feng Xue a XGPT z týmu ThreatBook, John Lussier, Masahiro Kawada (@kawakatz), Roman Zabicki, kem0n.

Share Sheet

Poděkování za pomoc zaslouží Atul Kishor Jaiswal, Benjamin Hornbeck.

Shortcuts

Poděkování za pomoc zaslouží Csaba Fitzl (@theevilbit) ze společnosti Iru, Owen Pawling (@owenpawling).

SMB

Poděkování za pomoc zaslouží Omar Cerrito, Peter Malone.

Terminal

Poděkování za pomoc zaslouží Stuart Thomas.

Virtualization

Poděkování za pomoc zaslouží Ye Zhang (@VAR10CK) z týmu Baidu Security.

VoiceOver

Poděkování za pomoc zaslouží Hariji Vivek Pandey.

WebDAV

Poděkování za pomoc zaslouží Bruce Dang z týmu Calif.io ve spolupráci s Claudem a týmem Anthropic Research, YingMuo (@YingMuo) z týmu DEVCORE Research Team.

WebKit

Poděkování za pomoc zaslouží @TristanInSec, Behzad Najjarpour Jabbari (@_G4ru_), Big Bear, Eddy Tsalolikhin, Henock Habte, Kenneth Hsu, Maher Azzouzi, Meridian Miftari, N13S, OpenAI Codex Security – Amy Burnett, Souta Sugiyama, Vitaly Simonovich, anonymní výzkumník, hamayanhamayan, lattice, lebr0nli z National Yang Ming Chiao Tung University, Security and Systems Lab, ret2happy, wwwlk.

WebKit Canvas

Poděkování za pomoc zaslouží Utkarsh Pal.

WebKit JavaScript Bindings

Poděkování za pomoc zaslouží hamayanhamayan.

WindowServer

Poděkování za pomoc zaslouží Jex Amro.

xar

Poděkování za pomoc zaslouží Matthew Dean.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 17. září 2026