Tietoja iOS 26.2:n ja iPadOS 26.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 26.2:n ja iPadOS 26.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 26.2 ja iPadOS 26.2

Julkaistu 12.12.2025

App Store

Saatavuus: iPhone 11 ja uudemmat, iPad Pro (12,9 tuumaa, 3. sukupolvi ja uudemmat), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (8. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia maksutunnisteita.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-46288: floeki, Zhongcheng Li (ByteDancen IES Red Team)

AppleJPEG

Vaikutus: Tiedoston käsitteleminen saattoi aiheuttaa muistin korruptoitumisen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Vaikutus: hyökkääjä saattoi pystyä väärentämään FaceTimen oman tunnisteensa.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2025-46287: nimetön tutkija, Riley Walz

curl

Vaikutus: curlissa oli useita ongelmia.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

Vaikutus: salasanakentät saattoivat paljastua tahattomasti, jos laitetta hallittiin etänä FaceTimen kautta.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2025-43542: Yiğit Ocak

Foundation

Vaikutus: appi saattoi pystyä käyttämään tiedostoja sopimattomasti oikeinkirjoituksen APIn kautta.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43518: Noah Gregory (wts.dev)

Foundation

Vaikutus: haitallisten tietojen käsitteleminen saattoi johtaa apin odottamattomaan sulkeutumiseen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-43532: Andrew Calvano ja Lucas Pinheiro (Meta Product Security)

Icons

Vaikutus: appi saattoi kyetä tunnistamaan muita käyttäjän asentamia appeja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu ottamalla käyttöön 64-bittiset aikaleimat.

CVE-2025-46285: Kaitao Xie ja Xiaolong Bai (Alibaba Group)

libarchive

Vaikutus: Tiedoston käsitteleminen saattoi aiheuttaa muistin korruptoitumisen.

CVE-2025-5918

MediaExperience

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-43475: Rosyna Keller (Totally Not Malicious Software)

Messages

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietojen paljastumisen ongelma ratkaistiin parantamalla tietosuoja-asetuksia.

CVE-2025-46276: Rosyna Keller (Totally Not Malicious Software)

Multi-Touch

Vaikutus: haitallinen HID-laite saattoi aiheuttaa prosessin kaatumisen odottamattomasti.

Kuvaus: useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2025-43533: Google Threat Analysis Group

Photos

Vaikutus: Kätketyt-albumin kuvia saattoi katsoa ilman todentautumista.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43428: nimetön tutkija, Michael Schmutzer (Technische Hochschule Ingolstadt)

Screen Time

Vaikutus: appi saattoi pystyä tarkastelemaan käyttäjän Safari-historiaa.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-46277: Kirin (@Pwnrin)

Screen Time

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-43538: Iván Savransky

Telephony

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu lisäämällä oikeustarkistuksia.

CVE-2025-46292: Rosyna Keller (Totally Not Malicious Software)

WebKit

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tilan käsittelyä.

WebKit Bugzilla: 301257

CVE-2025-43541: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 301726

CVE-2025-43536: Nan Wang (@eternalsakura13)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 300774

CVE-2025-43535: Google Big Sleep, Nan Wang (@eternalsakura13)

Kohta päivitetty 17.12.2025

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 301371

CVE-2025-43501: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: kilpailutilanne on korjattu parantamalla tilankäsittelyä.

WebKit Bugzilla: 301940

CVE-2025-43531: Phil Pizlo (Epic Games)

WebKit

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää erittäin edistyneessä hyökkäyksessä tiettyjä yksilöitä vastaan iOS 26 -versiota edeltävissä iOS-versioissa. Vastauksena tähän raporttiin on julkaistu myös CVE-2025-14174.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 302502

CVE-2025-43529: Google Threat Analysis Group

WebKit

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää erittäin edistyneessä hyökkäyksessä tiettyjä yksilöitä vastaan iOS 26 -versiota edeltävissä iOS-versioissa. Vastauksena tähän raporttiin on julkaistu myös CVE-2025-43529.

Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.

WebKit Bugzilla: 303614

CVE-2025-14174: Apple ja Google Threat Analysis Group

WebKit Web Inspector

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 300926

CVE-2025-43511: 이동하 (Lee Dong Ha, BoB 14th)

Kiitokset

AppleMobileFileIntegrity

Haluamme kiittää avusta nimetöntä tutkijaa.

AppSandbox

Haluamme kiittää avusta Mickey Jiniä (@patch1t).

Core Services

Haluamme kiittää avusta Golden Helm Securitiesia.

Safari

Haluamme kiittää avusta Mochammad Nosa Shandy Prastyota.

Siri

Haluamme kiittää avusta Richard Hyunho Imiä (@richeeta, Route Zero Security, routezero.security).

WebKit

Haluamme kiittää avusta Geva Nurgandi Syahputraa (gevakun).

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 23. joulukuuta 2025