À propos des correctifs de sécurité de watchOS 26.1

Ce document décrit les correctifs de sécurité de watchOS 26.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

watchOS 26.1

Apple Account

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app malveillante peut être en mesure d’effectuer une capture d’écran d’informations sensibles dans des vues intégrées.

Description : un problème de confidentialité a été résolu par de meilleures vérifications.

CVE-2025-4345 : Ron Masas de BreakPoint.SH, Pinak Oza

Apple Neural Engine

Disponible pour : Apple Watch Series 9 et modèles ultérieurs, Apple Watch SE (2e génération), Apple Watch Ultra (tous les modèles)

Conséquence : une app peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43447 : un chercheur ou une chercheuse anonyme

CVE-2025-43462 : un chercheur ou une chercheuse anonyme

AppleMobileFileIntegrity

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app pourrait accéder à des données utilisateur protégées.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43379 : Gergely Kalman (@gergely_kalman)

CloudKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app pourrait sortir de sa sandbox.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43448 : Hikerell (Loadshine Lab)

CoreServices

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app peut être en mesure d’énumérer les apps installées d’un utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43436 : Zhongcheng Li de l’IES Red Team de ByteDance

CoreText

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2025-43445 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

Find My

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème de confidentialité a été résolu par le déplacement de données sensibles.

CVE-2025-43507 : iisBuri

FontParser

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’une police malveillante peut entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43400 : Apple

Installer

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43444 : Zhongcheng Li de l’IES Red Team de ByteDance

Kernel

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app pourrait provoquer un arrêt inopiné du système.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43398 : Cristian Dinca (icmd.tech)

libxpc

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app en sandbox peut être en mesure d’observer des connexions réseau à l’échelle du système.

Description : un problème d’accès a été résolu par l’application de restrictions supplémentaires au niveau de la sandbox.

CVE-2025-43413 : Dave G. et Alex Radocea de supernetworks.org

Mail Drafts

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : un contenu distant pourrait être chargé, même lorsque le réglage « Charger les images distantes » est désactivé

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43496 : Romain Lebesle, Himanshu Bharti @Xpl0itme de Khatima

MallocStackLogging

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : la gestion des variables d’environnement présentait un problème. Celui-ci a été résolu par une meilleure validation.

CVE-2025-43294 : Gergely Kalman (@gergely_kalman)

Phone

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : un attaquant ou une attaquante ayant un accès physique à une Apple Watch verrouillée peut être en mesure de visualiser la Messagerie en direct.

Description : un problème d’authentification a été résolu par une meilleure gestion des états.

CVE-2025-43459 : Dalibor Milanovic

Safari

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de l’interface utilisateur.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2025-43503 : @RenwaX23

Sandbox Profiles

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par une meilleure gestion des préférences utilisateur.

CVE-2025-43500 : Stanislav Jelezoglo

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : un site web malveillant peut extraire des données provenant d’origines multiples

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-43480 : Aleksejs Popovs

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-43458 : Phil Beauvoir

CVE-2025-43430 : Big Sleep de Google

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par la réalisation de meilleures vérifications.

CVE-2025-43443 : un chercheur ou une chercheuse anonyme

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par de meilleures vérifications.

CVE-2025-43440 : Nan Wang (@eternalsakura13)

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43438 : shandikri en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2025-43457 : Gary Kwong, Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CVE-2025-43434 : Big Sleep de Google

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43435 : Justin Cohen de Google

CVE-2025-43425 : un chercheur ou une chercheuse anonyme

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner une corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43433 : Big Sleep de Google

CVE-2025-43431 : Big Sleep de Google

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43432 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

WebKit

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

CVE-2025-43429 : Big Sleep de Google

WebKit Canvas

Disponible pour : Apple Watch Series 6 et modèles ultérieurs

Conséquence : un site web pourrait extraire des données d’image provenant d’origines multiples.

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2025-43392 : Tom Van Goethem

Remerciements supplémentaires

Mail

Nous tenons à remercier un chercheur anonyme pour son aide.

MobileInstallation

Nous tenons à remercier Bubble Zhang pour son aide.

Safari

Nous tenons à remercier Barath Stalin K pour son aide.

Shortcuts

Nous tenons à remercier BanKai, Benjamin Hornbeck et Chi Yuan Chang de ZUSO ART, ainsi que taikosoup, Ryan May, Andrew James Gonzalez et un chercheur ou une chercheuse anonyme pour leur aide.

WebKit

Nous tenons à remercier Enis Maholli (enismaholli.com) de Big Sleep de Google pour son aide.