À propos des correctifs de sécurité d’iOS 26.1 et d’iPadOS 26.1

Ce document décrit les correctifs de sécurité d’iOS 26.1 et d’iPadOS 26.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 26.1 et iPadOS 26.1

Publié le 3 novembre 2025

Accessibility

Disponible pour : iPhone 11 (et modèles ultérieurs), iPad Pro 12,9 pouces (3e génération et modèles ultérieurs), iPad Pro 11 pouces (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (8e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut identifier les autres apps qu’un utilisateur a installées.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43442 : Zhongcheng Li de l’IES Red Team de ByteDance

Apple Account

Conséquence : une app malveillante peut être en mesure d’effectuer une capture d’écran d’informations sensibles dans des vues intégrées.

Description : un problème de confidentialité a été résolu par de meilleures vérifications.

CVE-2025-43455 : Ron Masas de BreakPoint.SH et Pinak Oza

Apple Neural Engine

Conséquence : une app peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43447 : un chercheur anonyme

CVE-2025-43462 : un chercheur anonyme

Apple TV Remote

Conséquence : une application malveillante peut être en mesure de traquer les utilisateurs entre les installations.

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2025-43449 : Rosyna Keller de Totally Not Malicious Software

AppleMobileFileIntegrity

Conséquence : une app pourrait accéder à des données utilisateur protégées.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43379 : Gergely Kalman (@gergely_kalman)

Assets

Conséquence : une app pourrait sortir de sa sandbox.

Description : ce problème a été résolu par l’amélioration des autorisations.

CVE-2025-43407 : JZ

Audio

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil déverrouillé et jumelé à un Mac pourrait consulter des informations sensibles sur l’utilisateur dans les historiques du système.

Description : un problème de journalisation a été résolu par l’amélioration du masquage des données.

CVE-2025-43423 : Duy Trần (@khanhduytran0)

Camera

Conséquence : une app peut être en mesure d’obtenir des informations sur la vue de l’appareil photo avant d’obtenir l’accès à l’appareil photo

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2025-43450 : Dennis Briner

CloudKit

Conséquence : une app pourrait sortir de sa sandbox.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43448 : Hikerell (Loadshine Lab)

Contacts

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de journalisation a été résolu par l’amélioration du masquage des données.

CVE-2025-43426 : Wojciech Regula de SecuRing (wojciechregula.blog)

Control Center

Conséquence : un attaquant peut afficher du contenu restreint à partir de l’écran verrouillé.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43350 : Lukaah Marlowe

CoreServices

Conséquence : une app peut être en mesure d’énumérer les apps installées d’un utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43436 : Zhongcheng Li de l’IES Red Team de ByteDance

CoreText

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2025-43445 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

FileProvider

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème d’autorisation a été résolu par une meilleure gestion des états.

CVE-2025-43498 : pattern-f (@pattern_F_)

Find My

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème de confidentialité a été résolu par le déplacement de données sensibles.

CVE-2025-43507 : iisBuri

Installer

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43444 : Zhongcheng Li de l’IES Red Team de ByteDance

Kernel

Conséquence : une app pourrait provoquer un arrêt inopiné du système.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43398 : Cristian Dinca (icmd.tech)

libxpc

Conséquence : une app en sandbox peut être en mesure d’observer des connexions réseau à l’échelle du système.

Description : un problème d’accès a été résolu par l’application de restrictions supplémentaires au niveau de la sandbox.

CVE-2025-43413 : Dave G. et Alex Radocea de supernetworks.org

Mail Drafts

Conséquence : un contenu distant pourrait être chargé, même lorsque le réglage « Charger les images distantes » est désactivé

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43496 : Romain Lebesle et Himanshu Bharti @Xpl0itme de Khatima

MallocStackLogging

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : la gestion des variables d’environnement présentait un problème. Celui-ci a été résolu par une meilleure validation.

CVE-2025-43294 : Gergely Kalman (@gergely_kalman)

Model I/O

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43386 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43385 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43384 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43383 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

Multi-Touch

Conséquence : un périphérique HID malveillant peut conduire à un blocage inopiné du processus.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2025-43424 : Threat Analysis Group de Google

Notes

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par la suppression du code vulnérable.

CVE-2025-43389 : Kirin (@Pwnrin)

On-device Intelligence

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème de confidentialité a été résolu par la suppression de données sensibles.

CVE-2025-43439 : Zhongcheng Li de l’IES Red Team de ByteDance

Photos

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par une meilleure gestion des fichiers temporaires.

CVE-2025-43391 : Asaf Cohen

Safari

Conséquence : la consultation d’un site web malveillant pourrait entraîner une utilisation détournée de la barre d’adresse.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-43493 : @RenwaX23

Safari

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de l’interface utilisateur.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2025-43503 : @RenwaX23

Safari

Conséquence : une app peut être en mesure de contourner certaines préférences de confidentialité.

Description : un problème de confidentialité a été résolu par la suppression de données sensibles.

CVE-2025-43502 : un chercheur anonyme

Sandbox Profiles

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par une meilleure gestion des préférences utilisateur.

CVE-2025-43500 : Stanislav Jelezoglo

Siri

Conséquence : le verrouillage d’un appareil peut échouer de manière systématique

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-43454 : Joshua Thomas

Status Bar

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil verrouillé pourrait consulter des informations sensibles de l’utilisateur.

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2025-43460 : Isaiah Wan

Stolen Device Protection

Disponible pour : iPhone 11 et modèles ultérieurs

Conséquence : un attaquant disposant d’un accès physique à un appareil pourrait être en mesure de désactiver la protection en cas de vol de l’appareil

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43422 : Will Caine

Text Input

Conséquence : les suggestions du clavier pourraient afficher des informations sensibles sur l’écran verrouillé.

Description : ce problème a été résolu par la limitation des options proposées sur un appareil verrouillé.

CVE-2025-43452 : Thomas Salomon, Sufiyan Gouri (TU Darmstadt), Phil Scott (@MrPeriPeri) et Richard Hyunho Im (@richeeta), Mark Bowers, Joey Hewitt, Dylan Rollins, Arthur Baudoin, un chercheur anonyme et Andr.Ess

WebKit

Conséquence : un site web malveillant peut extraire des données provenant d’origines multiples

Description : le problème a été résolu par de meilleures vérifications.

WebKit Bugzilla : 276208

CVE-2025-43480 : Aleksejs Popovs

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 296693

CVE-2025-43458 : Phil Beauvoir

WebKit Bugzilla : 298196

CVE-2025-43430 : Big Sleep de Google

WebKit Bugzilla : 298628

CVE-2025-43427 : Gary Kwong et rheza (@ginggilBesel)

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par la réalisation de meilleures vérifications.

WebKit Bugzilla : 299843

CVE-2025-43443 : un chercheur anonyme

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298496

CVE-2025-43441 : rheza (@ginggilBesel)

WebKit Bugzilla : 299391

CVE-2025-43435 : Justin Cohen de Google

WebKit Bugzilla : 298851

CVE-2025-43425 : un chercheur anonyme

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par de meilleures vérifications.

WebKit Bugzilla : 298126

CVE-2025-43440 : Nan Wang (@eternalsakura13)

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 297662

CVE-2025-43438 : shandikri en collaboration avec le programme Zero Day Initiative de Trend Micro

WebKit Bugzilla : 298606

CVE-2025-43457 : Gary Kwong et Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

WebKit Bugzilla : 297958

CVE-2025-43434 : Big Sleep de Google

WebKit

Conséquence : une application peut être en mesure de surveiller la saisie au clavier sans l’autorisation de l’utilisateur.

Description : le problème a été résolu par de meilleures vérifications.

WebKit Bugzilla : 300095

CVE-2025-43495 : Lehan Dilusha Jayasinghe

WebKit

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner une corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298093

CVE-2025-43433 : Big Sleep de Google

WebKit Bugzilla : 298194

CVE-2025-43431 : Big Sleep de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 299313

CVE-2025-43432 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

WebKit Bugzilla : 298232

CVE-2025-43429 : Big Sleep de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : plusieurs problèmes ont été résolus par la désactivation de l’optimisation de report d’allocation de tableaux.

WebKit Bugzilla : 300718

CVE-2025-43421 : Nan Wang (@eternalsakura13)

WebKit Canvas

Conséquence : un site web est susceptible d’extraire des données d’image provenant d’origines multiples.

Description : le problème a été résolu par une meilleure gestion des caches.

WebKit Bugzilla : 297566

CVE-2025-43392 : Tom Van Goethem

Remerciements supplémentaires

Accessibility

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde pour son aide.

App Store

Nous tenons à remercier Bikesh Parajuli pour son aide.

FaceTime

Nous tenons à remercier Un3xploitable pour son aide.

Mail

Nous tenons à remercier un chercheur anonyme pour son aide.

MobileInstallation

Nous tenons à remercier Bubble Zhang pour son aide.

Photos

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde et Yusuf Kelany et pour leur aide.

Safari

Nous tenons à remercier Barath Stalin K pour son aide.

Safari Downloads

Nous tenons à remercier Saello Puza pour son aide.

Screenshots

Nous tenons à remercier un chercheur anonyme pour son aide.

Security

Nous tenons à remercier Mickey Jin (@patch1t) pour son aide.

Settings

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde pour son aide.

Shortcuts

Nous tenons à remercier BanKai, Benjamin Hornbeck, Chi Yuan Chang de ZUSO ART, taikosoup, Ryan May, Andrew James Gonzalez et un chercheur anonyme pour leur aide.

Status Bar

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) de Safran Mumbai en Inde et Dalibor Milanovic pour leur aide.

Synapse

Nous tenons à remercier Jake Derouin (jakederouin.com) pour son aide.

UIKit

Nous tenons à remercier Chi Yuan Chang de ZUSO ART et taikosoup pour leur aide.

WebKit

Nous tenons à remercier Enis Maholli (enismaholli.com) et Big Sleep de Google pour leur aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: 07 novembre 2025