À propos des correctifs de sécurité de Safari 26.5

Ce document décrit les correctifs de sécurité de Safari 26.5.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les versions récentes sont énumérées à la page Versions de sécurité d’Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

Safari 26.5

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement de contenus web malveillants est susceptible d’empêcher l’application de la politique de sécurité du contenu.

Description : un problème de validation a été résolu par une meilleure logique.

CVE-2026-43660 : Cantina

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement de contenus web malveillants est susceptible d’empêcher l’application de la politique de sécurité du contenu.

Description : le problème a été résolu par une meilleure validation de l’entrée.

CVE-2026-28907 : Cantina

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu web malveillant peut entraîner la divulgation d’informations sensibles de l’utilisateur.

Description : ce problème d’accès a été résolu par une amélioration des restrictions d’accès.

CVE-2026-28962 : Luke Francis, Vaagn Vardanian, kwak kiyong / kakaogames, Vitaly Simonovich, Adel Bouachraoui, greenbynox

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné de Safari.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2026-43658 : Do Young Park

CVE-2026-28984 : Artem Dinaburg de Trail of Bits via Anthropic CVD

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28905 : Yuhao Hu, Yuanming Lai, Chenggang Wu et Zhe Wang

CVE-2026-28847 : Idan Masas, DARKNAVY (@DarkNavyOrg), et un chercheur anonyme travaillant avec TrendAI Zero Day Initiative, Daniel Rhea

CVE-2026-28904 : Luka Rački

CVE-2026-28955 : wac et Kookhwan Lee en collaboration avec TrendAI Zero Day Initiative

CVE-2026-28903 : Mateusz Krzywicki (iVerify.io)

CVE-2026-28953 : Maher Azzouzi

CVE-2026-28902 : Tristan Madani (@TristanInSec) de Talence Security, Nathaniel Oh (@calysteon)

CVE-2026-28901 : Équipe de recherche en sécurité offensive Aisle (Joshua Rogers, Luigino Camastra, Igor Morgenstern et Guido Vranken), Maher Azzouzi, Ngan Nguyen de Calif.io

CVE-2026-28913 : un chercheur anonyme

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28883 : kwak kiyong / kakaogames

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : ce problème a été résolu par une meilleure protection des données.

CVE-2026-28958 : Cantina

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : le problème a été résolu par une meilleure validation de l’entrée.

CVE-2026-28917 : Vitaly Simonovich

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28947 : dr3dd

CVE-2026-28946 : Gia Bui (@yabeow) de Calif.io, dr3dd, w0wbox

CVE-2026-28942 : Milad Nasr et Nicholas Carlini avec Claude, Anthropic

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : un iframe malveillant pourrait exploiter les paramètres de téléchargement d’un autre site Web

Description : ce problème a été résolu par une meilleure gestion de l’interface utilisateur.

CVE-2026-28971 : Khiem Tran

WebKit

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut contourner la politique de sécurité du contenu.

Description : un contournement de la politique de sécurité du contenu a été résolu par une meilleure application dans les contextes AudioWorklet.

CVE-2026-43670 : lebr0nli de National Yang Ming Chiao Tung University, Security and Systems Lab

WebRTC

Disponible pour : macOS Sonoma et macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2026-28944 : Kenneth Hsu de Palo Alto Networks, Jérôme DJOUDER, dr3dd

Remerciements supplémentaires

Safari

Nous tenons à remercier Barath Stalin K (linkedin.com/in/barathstalin) et sean mutuku pour leur aide.

Safari Push Notifications

Nous tenons à remercier Robert Mindo pour son aide.

WebKit

Nous tenons à remercier Heiko Kiesel de SEEMOO, TU Darmstadt, Jaya Surya Kommireddy, Mihalis Haatainen, Milad Nasr et Nicholas Carlini avec Claude, Anthropic, Muhammad Zaid Ghifari (Mr.ZheeV), Kalimantan Utara, Qadhafy Muhammad Tera, RedRays Security Team, Vitaly Simonovich, Yair Hoffman, greenbynox, et un chercheur anonyme pour leur aide.

WebRTC

Nous tenons à remercier Hyeonji Son (@jir4vv1t) de Demon Team pour son aide.