À propos des correctifs de sécurité de Safari 26.6

Ce document décrit les correctifs de sécurité de Safari 26.6.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

Safari 26.6

Safari

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur ou de l’utilisatrice.

Description : un problème d’autorisation a été résolu par une meilleure gestion des états.

CVE-2026-43792 : Ilya Andr (andrd3v)

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : les sites web pourraient déterminer si l’utilisateur a consulté un lien donné.

Description : le problème a été résolu par la réalisation de meilleures vérifications.

CVE-2026-64713 : Kwak Kiyong, Song Nuri

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : la consultation d’un site web incluant du contenu malveillant peut entraîner du spoofing dans l’interface utilisateur.

Description : le problème a été résolu par l’amélioration de l’interface utilisateur.

CVE-2026-64730 : Kagami Rosylight de Mozilla

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : un contenu web malveillant peut enfreindre la politique de sandboxing des éléments iframe.

Description : un problème d’autorisations a été résolu par une meilleure validation.

CVE-2026-64728 : une contribution anonyme

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2026-64783 : Luke Francis, Francisco Alonso (@revskills), Shubham Chaskar, Jiyong Yang (@Sy2n0), 杉山 壮太, lattice, Behzad Najjarpour Jabbari (@_G4ru_), Junyeong Lee, Mooth.ai, OGINOME Tomohito, Using GLM From Z.AI, Gia Bui (@yabeow) de Calif.io

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2026-64757 : Milad Nasr et Nicholas Carlini avec Claude, Anthropic

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : l’accès à un site web peut entraîner le déni de service d’une app.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2026-43804 : Heiko Kiesel de SEEMOO, TU Darmstadt

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : une app pourrait lire des fichiers en dehors de sa sandbox.

Description : un problème d’accès a été résolu par l’application de meilleures restrictions d’accès.

CVE-2026-43821 : Brian Carpenter

WebKit Canvas

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2026-64718 : Niels Hofmans, OGINOME Tomohito et une contribution anonyme

WebRTC

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2026-64719 : Shaheen Fazim

Remerciements supplémentaires

Safari Downloads

Nous tenons à remercier Alfaz Hossain pour son aide.

WebKit

Nous tenons à remercier Gurpreet Shergill, Henock Habte, Jaya Surya Kommireddy, Junyeong Lee, Lukas Knittel (@kunte_ctf) de l’université de la Ruhr à Bochum, Nikos Fanourakis de l’université technique de Crète, Sotiris Ioannidis de l’université technique de Crète, Panagiotis Ilia de l’université de technologie de Chypre et Kostas Drakonakis de l’université technique de Crète, Souta Sugiyama, Tony Gorez (@tonygo_) pour Reverse Society, Vitaly Simonovich, Youngjoon Kim de la Team-Atlanta et du sslab à l’Institut de technologie de Géorgie, Yuma Takeuchi et s3zer0 pour leur aide.

WebKit Canvas

Nous tenons à remercier Codex Security - Khai Tran, Daisuke Hatakeyama et Ryohei Ueki (@SYZD Research), David Bors au Snyk Security Labs, Giovanni Vignone et Robert van Eijk d’Octane Security (octane.security), Henock Habte, Kwak Kiyong, Song nuri, Luat Nguyen (CyberJutsu Academy), Marouane Dahmani, Tom Van Goethem, une contribution anonyme et dr3dd pour leur aide.

WebKit Storage

Nous tenons à remercier Gurpreet Shergill, Luke Francis, Milad Nasr et Nicholas Carlini avec Claude, Anthropic, Oleh Konko de 1seal (1seal.org) et Vitaly Simonovich pour leur aide.