Tietoja iOS 26.1:n ja iPadOS 26.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 26.1:n ja iPadOS 26.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 26.1 ja iPadOS 26.1

Julkaistu 3.11.2025

Accessibility

Saatavuus: iPhone 11 ja uudemmat, iPad Pro (12,9 tuumaa, 3. sukupolvi ja uudemmat), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (8. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: appi saattoi kyetä tunnistamaan muita käyttäjän asentamia appeja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43442: Zhongcheng Li (ByteDancen IES Red Team)

Apple Account

Vaikutus: haitallinen appi saattoi pystyä ottamaan näyttökuvan upotetuissa näkymissä olevista arkaluontoisista tiedoista.

Kuvaus: tietosuojaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43455: Ron Masas (BreakPoint.SH), Pinak Oza

Apple Neural Engine

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43447: nimetön tutkija

CVE-2025-43462: nimetön tutkija

Apple TV Remote

Vaikutus: Haitallinen appi saattoi pystyä jäljittämään käyttäjiä asennusten välissä.

Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.

CVE-2025-43449: Rosyna Keller (Totally Not Malicious Software)

AppleMobileFileIntegrity

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2025-43379: Gergely Kalman (@gergely_kalman)

Assets

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: ongelma on ratkaistu parannetuilla oikeuksilla.

CVE-2025-43407: JZ

Audio

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy Macin kanssa laitepariksi muodostettuun lukitsemattomaan laitteeseen, saattoi pystyä katsomaan arkaluontoisia käyttäjätietoja järjestelmän kirjaamisessa.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-43423: Duy Trần (@khanhduytran0)

Camera

Vaikutus: Appi saattoi pystyä hankkimaan tietoja nykyisestä kameranäkymästä ennen kameran käyttöoikeuden myöntämistä.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43450: Dennis Briner

CloudKit

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2025-43448: Hikerell (Loadshine Lab)

Contacts

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-43426: Wojciech Regula (SecuRing, wojciechregula.blog)

Control Center

Vaikutus: hyökkääjä saattoi pystyä katselemaan kiellettyä sisältöä lukitulta näytöltä.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43350: Lukaah Marlowe

CoreServices

Vaikutus: appi saattoi pystyä luetteloimaan käyttäjän asentamat apit.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43436: Zhongcheng Li (ByteDancen IES Red Team)

CoreText

Vaikutus: haitallisen mediatiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai korruptoida järjestelmämuistin.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2025-43445: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

FileProvider

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2025-43498: pattern-f (@pattern_F_)

Find My

Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: tietosuojaongelma on ratkaistu siirtämällä arkaluontoisia tietoja.

CVE-2025-43507: iisBuri

Installer

Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43444: Zhongcheng Li (ByteDancen IES Red Team)

Kernel

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43398: Cristian Dinca (icmd.tech)

libxpc

Vaikutus: eristetty appi saattoi pystyä tarkastelemaan järjestelmänlaajuisia verkkoyhteyksiä.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2025-43413: Dave G. ja Alex Radocea (supernetworks.org)

Mail Drafts

Vaikutus: etäsisältöä on ehkä voitu ladata, vaikka Lataa etäkuvat ‑asetus on ollut pois käytöstä

Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme (Khatima)

MallocStackLogging

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: Ympäristömuuttujien käsittelyssä oli ongelma. Ongelma on ratkaistu parantamalla validointia.

CVE-2025-43294: Gergely Kalman (@gergely_kalman)

Model I/O

Vaikutus: haitallisen mediatiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai korruptoida järjestelmämuistin.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-43386: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

CVE-2025-43385: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

CVE-2025-43384: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

CVE-2025-43383: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Multi-Touch

Vaikutus: haitallinen HID-laite saattoi aiheuttaa prosessin kaatumisen odottamattomasti.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2025-43424: Google Threat Analysis Group

Notes

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2025-43389: Kirin (@Pwnrin)

On-device Intelligence

Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: tietosuojaongelma on ratkaistu poistamalla arkaluontoisia tietoja.

CVE-2025-43439: Zhongcheng Li (ByteDancen IES Red Team)

Photos

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2025-43391: Asaf Cohen

Safari

Vaikutus: haitallisella verkkosivustolla käynti saattoi aiheuttaa osoiterivin väärentämisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-43493: @RenwaX23

Safari

Vaikutus: haitallisella verkkosivustolla käynti saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2025-43503: @RenwaX23

Safari

Vaikutus: appi saattoi pystyä ohittamaan tietyt Yksityisyysasetukset.

Kuvaus: tietosuojaongelma on ratkaistu poistamalla arkaluontoisia tietoja.

CVE-2025-43502: nimetön tutkija

Sandbox Profiles

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla käyttäjän asetusten käsittelyä.

CVE-2025-43500: Stanislav Jelezoglo

Siri

Vaikutus: laitteen lukittuminen saattoi epäonnistua toistuvasti

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2025-43454: Joshua Thomas

Status Bar

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy lukittuun laitteeseen, saattoi pystyä tarkastelemaan arkaluonteisia käyttäjätietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43460: Isaiah Wan

Stolen Device Protection

Saatavuus: iPhone 11 ja sitä uudemmat

Vaikutus: hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä poistamaan käytöstä varastetun laitteen suojauksen.

Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.

CVE-2025-43422: Will Caine

Text Input

Vaikutus: näppäimistöehdotukset saattoivat näyttää arkaluonteisia tietoja lukitusnäytössä.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2025-43452: Thomas Salomon, Sufiyan Gouri (TU Darmstadt), Phil Scott (@MrPeriPeri) ja Richard Hyunho Im (@richeeta), Mark Bowers, Joey Hewitt, Dylan Rollins, Arthur Baudoin, nimetön tutkija, Andr.Ess

WebKit

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

WebKit Bugzilla: 276208

CVE-2025-43480: Aleksejs Popovs

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

WebKit Bugzilla: 296693

CVE-2025-43458: Phil Beauvoir

WebKit Bugzilla: 298196

CVE-2025-43430: Google Big Sleep

WebKit Bugzilla: 298628

CVE-2025-43427: Gary Kwong, rheza (@ginggilBesel)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

WebKit Bugzilla: 299843

CVE-2025-43443: nimetön tutkija

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 298496

CVE-2025-43441: rheza (@ginggilBesel)

WebKit Bugzilla: 299391

CVE-2025-43435: Justin Cohen (Google)

WebKit Bugzilla: 298851

CVE-2025-43425: nimetön tutkija

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia

WebKit Bugzilla: 298126

CVE-2025-43440: Nan Wang (@eternalsakura13)

WebKit

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 297662

CVE-2025-43438: Trend Micro Zero Day Initiativen parissa työskentelevä shandikri

WebKit Bugzilla: 298606

CVE-2025-43457: Gary Kwong, Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit Bugzilla: 297958

CVE-2025-43434: Google Big Sleep

WebKit

Vaikutus: appi saattoi pystyä valvomaan näppäinpainalluksia ilman käyttäjän lupaa.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

WebKit Bugzilla: 300095

CVE-2025-43495: Lehan Dilusha Jayasinghe

WebKit

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 298093

CVE-2025-43433: Google Big Sleep

WebKit Bugzilla: 298194

CVE-2025-43431: Google Big Sleep

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 299313

CVE-2025-43432: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: puskurin ylivuoto on korjattu parantamalla rajojen tarkistusta.

WebKit Bugzilla: 298232

CVE-2025-43429: Google Big Sleep

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: useita ongelmia on ratkaistu poistamalla käytöstä taulukon varauksen laskeminen.

WebKit Bugzilla: 300718

CVE-2025-43421: Nan Wang (@eternalsakura13)

WebKit Canvas

Vaikutus: verkkosivusto saattoi vuotaa kuvatietoja eri alkuperien kesken.

Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.

WebKit Bugzilla: 297566

CVE-2025-43392: Tom Van Goethem

Kiitokset

Accessibility

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Safran Mumbai India).

App Store

Haluamme kiittää avusta Bikesh Parajulia.

FaceTime

Haluamme kiittää avusta Un3xploitablea.

Mail

Haluamme kiittää avusta nimetöntä tutkijaa.

MobileInstallation

Haluamme kiittää avusta Bubble Zhangia.

Photos

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Safran Mumbai India) ja Yusuf Kelanya.

Safari

Haluamme kiittää avusta Barath Stalin K:ta.

Safari Downloads

Haluamme kiittää avusta Saello Puzaa.

Screenshots

Haluamme kiittää avusta nimetöntä tutkijaa.

Tietoturva

Haluamme kiittää avusta Mickey Jiniä (@patch1t).

Asetukset

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Safran Mumbai India).

Shortcuts

Haluamme kiittää avusta BanKaita, Benjamin Hornbeckiä, Chi Yuan Changia (ZUSO ART) ja taikosoupia, Ryan May’ta, Andrew James Gonzalezia ja nimetöntä tutkijaa.

Status Bar

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Safran Mumbai India) ja Dalibor Milanovicia.

Synapse

Haluamme kiittää avusta Jake Derouinia (jakederouin.com).

UIKit

Haluamme kiittää avusta Chi Yuan Changia (ZUSO ART) ja nimimerkkiä taikosoup.

WebKit

Haluamme kiittää avusta Enis Mahollia (enismaholli.com) ja Google Big Sleepiä.

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 7. marraskuuta 2025