À propos des correctifs de sécurité d’iOS 26.1 et d’iPadOS 26.1

Ce document décrit les correctifs de sécurité d’iOS 26.1 et d’iPadOS 26.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les versions récentes sont énumérées à la page Versions de sécurité d’Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 26.1 et iPadOS 26.1

Publié le 3 novembre 2025

Accessibility

Disponible pour : iPhone 11 et modèles ultérieurs, iPad Pro 12,9 po 3e génération et modèles ultérieurs, iPad Pro 11 po 1re génération et modèles ultérieurs, iPad Air 3e génération et modèles ultérieurs, iPad 8e génération et modèles ultérieurs, et iPad mini 5e génération et modèles ultérieurs

Conséquence : une app peut être en mesure d’identifier les autres apps qu’un utilisateur a installées.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2025-43442 : Zhongcheng Li de l’IES Red Team de ByteDance

Apple Account

Conséquence : une app malveillante pourrait être en mesure de capturer des informations sensibles dans des affichages intégrés.

Description : un problème de confidentialité a été résolu par de meilleures vérifications.

CVE-2025-43455 : Ron Masas de BreakPoint.SH et Pinak Oza

Apple Neural Engine

Conséquence : une app peut être en mesure d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43447 : un chercheur anonyme

CVE-2025-43462 : un chercheur anonyme

Apple TV Remote

Conséquence : une app malveillante peut être en mesure de traquer les utilisateurs entre les installations

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2025-43449 : Rosyna Keller de Totally Not Malicious Software

AppleMobileFileIntegrity

Conséquence : une app peut être en mesure d’accéder aux données protégées de l’utilisateur.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43379 : Gergely Kalman (@gergely_kalman)

Assets

Conséquence : une app peut être en mesure de sortir de son bac à sable.

Description : ce problème a été résolu par l’application d’autorisations améliorées.

CVE-2025-43407 : JZ

Audio

Conséquence : un attaquant bénéficiant d'un accès physique à un appareil déverrouillé jumelé à un Mac peut être en mesure de consulter des informations sensibles sur l'utilisateur dans les journaux du système.

Description : un problème de journalisation a été résolu par une amélioration de la rédaction des données.

CVE-2025-43423 : Duy Trần (@khanhduytran0)

Camera

Conséquence : une app peut être en mesure d’acquérir des renseignements sur la vue actuelle de la caméra avant de se voir octroyer l’accès à la caméra.

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2025-43450 : Dennis Briner

CloudKit

Conséquence : une app peut être en mesure de sortir de son bac à sable.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43448 : Hikerell (Loadshine Lab)

Contacts

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de journalisation a été résolu par une amélioration de la rédaction des données.

CVE-2025-43426 : Wojciech Regula de SecuRing (wojciechregula.blog)

Control Center

Conséquence : un attaquant peut être en mesure d’afficher du contenu restreint à partir de l’écran de verrouillage.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2025-43350 : Lukaah Marlowe

CoreServices

Conséquence : une app pourrait être en mesure d’énumérer les applications installées par l’utilisateur.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2025-43436 : Zhongcheng Li de l’IES Red Team de ByteDance

CoreText

Conséquence : le traitement d’un fichier multimédia malveillant peut entraîner la fermeture inopinée d’une app ou la corruption de la mémoire du processus.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2025-43445 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

FileProvider

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème d’autorisation a été résolu par une meilleure gestion des états.

CVE-2025-43498 : pattern-f (@pattern_F_)

Find My

Conséquence : une app peut être en mesure d’enregistrer les empreintes digitales de l’utilisateur.

Description : un problème de confidentialité a été résolu en déplaçant les données sensibles.

CVE-2025-43507 : iisBuri

Installer

Conséquence : une app peut être en mesure d’enregistrer les empreintes digitales de l’utilisateur.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2025-43444 : Zhongcheng Li de l’IES Red Team de ByteDance

Kernel

Conséquence : une app peut être en mesure d’entraîner l’arrêt inattendu du système.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43398 : Cristian Dinca (icmd.tech)

libxpc

Conséquence : une app sandbox pourrait être capable d’observer les connexions réseau à l’échelle du système

Description : un problème d’accès a été résolu par des restrictions supplémentaires de bac à sable.

CVE-2025-43413 : Dave G. et Alex Radocea de supernetworks.org

Mail Drafts

Conséquence : le contenu distant peut être chargé même lorsque le paramètre « Charger les images distantes » est désactivé.

Description : le problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43496 : Romain Lebesle, Himanshu Bharti @Xpl0itme de Khatima

MallocStackLogging

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : la gestion des variables d’environnement présentait un problème. Ce problème a été résolu par une meilleure validation.

CVE-2025-43294 : Gergely Kalman (@gergely_kalman)

Model I/O

Conséquence : le traitement d’un fichier multimédia malveillant peut entraîner la fermeture inopinée d’une app ou la corruption de la mémoire du processus.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43386 : Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

CVE-2025-43385 : Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

CVE-2025-43384 : Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

CVE-2025-43383 : Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

Multi-Touch

Conséquence : un périphérique HID malveillant peut entraîner un arrêt inattendu du processus.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2025-43424 : Google Threat Analysis Group

Notes

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par la suppression du code vulnérable.

CVE-2025-43389 : Kirin (@Pwnrin)

On-device Intelligence

Conséquence : une app peut être en mesure d’enregistrer les empreintes digitales de l’utilisateur.

Description : un problème de confidentialité a été résolu en retirant les données sensibles.

CVE-2025-43439 : Zhongcheng Li de l’IES Red Team de ByteDance

Photos

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par une meilleure gestion des fichiers temporaires.

CVE-2025-43391 : Asaf Cohen

Safari

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de la barre d’adresse.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2025-43493 : @RenwaX23

Safari

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de l’interface utilisateur.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2025-43503 : @RenwaX23

Safari

Conséquence : une app peut être en mesure de contourner certaines préférences de confidentialité.

Description : un problème de confidentialité a été résolu en retirant les données sensibles.

CVE-2025-43502 : un chercheur anonyme

Sandbox Profiles

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : Un problème de confidentialité a été résolu grâce à une meilleure gestion des préférences de l’utilisateur.

CVE-2025-43500 : Stanislav Jelezoglo

Siri

Conséquence : un appareil peut refuser systématiquement de se verrouiller.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-43454 : Joshua Thomas

Status Bar

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil verrouillé peut être en mesure de consulter des informations sensibles sur l’utilisateur

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2025-43460 : Isaiah Wan

Stolen Device Protection

Disponible pour : iPhone 11 et modèles ultérieurs

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil peut être en mesure de désactiver la protection en cas de vol de l’appareil.

Description : le problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43422 : Will Caine

Text Input

Conséquence : les suggestions du clavier peuvent afficher des informations sensibles sur l’écran verrouillé.

Description : ce problème a été résolu en limitant les options proposées sur un appareil verrouillé.

CVE-2025-43452 : Thomas Salomon, Sufiyan Gouri (TU Darmstadt), Phil Scott (@MrPeriPeri), Richard Hyunho Im (@richeeta), Mark Bowers, Joey Hewitt, Dylan Rollins, Arthur Baudoin, un chercheur anonyme et Andr.Ess

WebKit

Conséquence : un site Web malveillant peut extraire des données provenant d’origines multiples

Description : ce problème a été résolu par l’application de meilleures vérifications.

WebKit Bugzilla : 276208

CVE-2025-43480 : Aleksejs Popovs

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 296693

CVE-2025-43458 : Phil Beauvoir

WebKit Bugzilla : 298196

CVE-2025-43430 : Google Big Sleep

WebKit Bugzilla : 298628

CVE-2025-43427 : Gary Kwong et rheza (@ginggilBesel)

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par l’application de meilleures vérifications.

WebKit Bugzilla : 299843

CVE-2025-43443 : un chercheur anonyme

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298496

CVE-2025-43441 : rheza (@ginggilBesel)

WebKit Bugzilla : 299391

CVE-2025-43435 : Justin Cohen de Google

WebKit Bugzilla : 298851

CVE-2025-43425 : un chercheur anonyme

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par l’application de meilleures vérifications.

WebKit Bugzilla : 298126

CVE-2025-43440 : Nan Wang (@eternalsakura13)

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 297662

CVE-2025-43438 : shandikri working en collaboration avec Trend Micro Zero Day Initiative

WebKit Bugzilla : 298606

CVE-2025-43457 : Gary Kwong, Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

WebKit Bugzilla : 297958

CVE-2025-43434 : Google Big Sleep

WebKit

Conséquence : une app peut être en mesure de surveiller les frappes au clavier sans l’autorisation de l’utilisateur.

Description : ce problème a été résolu par l’application de meilleures vérifications.

WebKit Bugzilla : 300095

CVE-2025-43495 : Lehan Dilusha Jayasinghe

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à une corruption de la mémoire.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298093

CVE-2025-43433 : Google Big Sleep

WebKit Bugzilla : 298194

CVE-2025-43431 : Google Big Sleep

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 299313

CVE-2025-43432 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

WebKit Bugzilla : 298232

CVE-2025-43429 : Google Big Sleep

WebKit

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : plusieurs problèmes ont été résolus en désactivant l’enfoncement de l’allocation de tableau.

WebKit Bugzilla : 300718

CVE-2025-43421 : Nan Wang (@eternalsakura13)

WebKit Canvas

Conséquence : un site Web peut extraire des données d’images provenant de différentes origines.

Description : le problème a été résolu par une meilleure gestion des caches.

WebKit Bugzilla : 297566

CVE-2025-43392 : Tom Van Goethem

Remerciements supplémentaires

Accessibility

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde pour son aide.

App Store

Nous tenons à remercier Bikesh Parajuli pour son aide.

FaceTime

Nous tenons à remercier Un3xploitable pour son aide.

Mail

Nous tenons à remercier un chercheur anonyme pour son aide.

MobileInstallation

Nous tenons à remercier Bubble Zhang pour son aide.

Photos

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde et Yusuf Kelany pour leur aide.

Safari

Nous tenons à remercier Barath Stalin K pour son aide.

Safari Downloads

Nous tenons à remercier Saello Puza pour son aide.

Screenshots

Nous tenons à remercier un chercheur anonyme pour son aide.

Security

Nous tenons à remercier Mickey Jin (@patch1t) pour son aide.

Settings

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde pour son aide.

Shortcuts

Nous tenons à remercier BanKai, Benjamin Hornbeck, Chi Yuan Chang de ZUSO ART et taikosoup, Ryan May, Andrew James Gonzalez et un chercheur anonyme pour leur aide.

Status Bar

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde et Dalibor Milanovic pour leur aide.

Synapse

Nous tenons à remercier Jake Derouin (jakederouin.com) pour son aide.

UIKit

Nous tenons à remercier Chi Yuan Chang de ZUSO ART et taikosoup pour leur aide.

WebKit

Nous tenons à remercier Enis Maholli (enismaholli.com) et Google Big Sleep pour leur aide.

Les renseignements sur les produits qui ne sont pas fabriqués par Apple ou sur les sites Web indépendants qui ne sont pas gérés ou vérifiés par Apple sont fournis sans recommandation ni approbation de la part d’Apple. Apple se dégage de toute responsabilité quant à la sélection, au bon fonctionnement ou à l’utilisation de sites Web ou de produits de tiers. Apple ne fait aucune déclaration et n’offre aucune garantie quant à l’exactitude ou à la fiabilité de ces sites Web de tiers. Communiquez avec le vendeur pour de plus amples renseignements.

Date de publication: novembre 07, 2025