À propos des correctifs de sécurité d’iOS 18.6 et d’iPadOS 18.6

Ce document décrit les correctifs de sécurité d’iOS 18.6 et d’iPadOS 18.6.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de sa clientèle, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 18.6 et iPadOS 18.6

Publiés le 29 juillet 2025

Accessibility

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 13 pouces, iPad Pro 12,9 pouces (3e génération) et modèles ultérieurs, iPad Pro 11 pouces (1re génération) et modèles ultérieurs, iPad Air (3e génération) et modèles ultérieurs, iPad (7e génération) et modèles ultérieurs, iPad mini (5e génération) et modèles ultérieurs

Conséquence : un code peut être lu à voix haute par VoiceOver.

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2025-31229 : Wong Wee Xiang

Accessibility

Conséquence : les indicateurs de confidentialité pour l’accès au microphone ou à la caméra peuvent ne pas s’afficher de manière correcte.

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43217 : Himanshu Bharti (@Xpl0itme)

afclip

Conséquence : l’analyse d’un fichier peut entraîner la fermeture inopinée d’une app.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43186 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CFNetwork

Conséquence : un utilisateur non privilégié peut être en mesure de modifier des réglages réseau restreints.

Description : un problème de déni de service a été résolu par une meilleure validation des entrées.

CVE-2025-43223 : Andreas Jaegersberger et Ro Achterberg de Nosebeard Labs

CoreAudio

Conséquence : le traitement d’un fichier audio malveillant pourrait entraîner une corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43277 : Threat Analysis Group de Google

CoreMedia

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43210 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

CoreMedia Playback

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : le problème a été résolu par l’application de vérifications supplémentaires des autorisations.

CVE-2025-43230 : Chi Yuan Chang de ZUSO ART et taikosoup

ICU

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43209 : Gary Kwong en collaboration avec le programme Zero Day Initiative de Trend Micro

ImageIO

Conséquence : le traitement d’une image malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2025-43226

libnetcore

Conséquence : le traitement d’un fichier pourrait entraîner une corruption de la mémoire.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43202 : Brian Carpenter

libxml2

Conséquence : le traitement d’un fichier pourrait entraîner une corruption de la mémoire.

Description : une vulnérabilité est présente dans le code open source et les logiciels Apple font partie des projets concernés. La référence CVE a été attribuée par un tiers. Consultez le site cve.org pour en savoir plus sur le problème et la référence CVE à l’adresse cve.org.

CVE-2025-7425 : Sergei Glazunov de Google Project Zero

libxslt

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner une corruption de la mémoire.

CVE-2025-7424 : Ivan Fratric de Google Project Zero

Mail Drafts

Conséquence : un contenu distant pourrait être chargé, même lorsque le réglage « Charger les images distantes » est désactivé.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-31276 : Himanshu Bharti (@Xpl0itme)

Metal

Conséquence : le traitement d’une texture malveillante pourrait entraîner l’arrêt inopiné d’apps

Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure validation des entrées.

CVE-2025-43234 : Vlad Stolyarov du Threat Analysis Group de Google

Model I/O

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43224 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43221 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

Model I/O

Conséquence : le traitement d’un fichier malveillant peut entraîner l’arrêt inopiné d’apps.

Description : un problème de validation des entrées a été résolu par une meilleure gestion de la mémoire.

CVE-2025-31281 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

WebKit

Conséquence : la consultation d’un site web malveillant pourrait entraîner une utilisation détournée de la barre d’adresse.

Description : le problème a été résolu par l’amélioration de l’interface utilisateur.

WebKit Bugzilla : 294374

CVE-2025-43228 : Jaydev Ahire

WebKit

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner la divulgation d’informations sensibles de l’utilisateur.

Description : ce problème a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 292888

CVE-2025-43227 : Gilad Moav

WebKit

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner une corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 291742

CVE-2025-31278 : Yuhao Hu, Yan Kang, Chenggang Wu et Xiaojie Wei

WebKit Bugzilla : 291745

CVE-2025-31277 : Yuhao Hu, Yan Kang, Chenggang Wu et Xiaojie Wei

WebKit Bugzilla : 293579

CVE-2025-31273 : Yuhao Hu, Yan Kang, Chenggang Wu et Xiaojie Wei

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 292599

CVE-2025-43214 : shandikri en collaboration avec le programme Zero Day Initiative de Trend Micro, Google V8 Security Team

WebKit Bugzilla : 292621

CVE-2025-43213 : Google V8 Security Team

WebKit Bugzilla : 293197

CVE-2025-43212 : Nan Wang (@eternalsakura13) et Ziling Chen

WebKit

Conséquence : le traitement d’un contenu web pourrait être à l’origine d’un déni de service.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 293730

CVE-2025-43211 : Yuhao Hu, Yan Kang, Chenggang Wu et Xiaojie Wei

WebKit

Conséquence : le traitement d’un contenu web malveillant peut entraîner la divulgation des états internes de l’app.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

WebKit Bugzilla : 294182

CVE-2025-43265 : HexRabbit (@h3xr4bb1t) de l’équipe de recherche DEVCORE

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 295382

CVE-2025-43216 : Ignacio Sanmillan (@ulexec)

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

WebKit Bugzilla : 296459

CVE-2025-6558 : Clément Lecigne et Vlad Stolyarov du Threat Analysis Group de Google

Remerciements supplémentaires

Accessibility

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du C-DAC Thiruvananthapuram en Inde, Hamza BHP et Himanshu Bharti (@Xpl0itme) pour leur aide.

Activation Lock

Nous tenons à remercier salemdomain pour son aide.

Bluetooth

Nous tenons à remercier LIdong LI, Xiao Wang, Shao Dong Chen et Chao Tan de Source Guard pour leur aide.

CoreAudio

Nous tenons à remercier Noah Weinberg pour son aide.

Device Management

Nous tenons à remercier Al Karak pour son aide.

libxml2

Nous tenons à remercier Sergei Glazunov de Google Project Zero pour son aide.

libxslt

Nous tenons à remercier Ivan Fratric de Google Project Zero pour son aide.

Managed Configuration

Nous tenons à remercier Bill Marczak du Citizen Lab de la Munk School à l’Université de Toronto pour son aide.

Photos

Nous tenons à remercier un chercheur anonyme pour son aide.

Safari

Nous tenons à remercier Ameen Basha M K pour son aide.

Shortcuts

Nous tenons à remercier Dennis Kniep pour son aide.

Siri

Nous tenons à remercier Timo Hetzel pour son aide.

WebKit

Nous tenons à remercier la Google V8 Security Team, Yuhao Hu, Yan Kang, Chenggang Wu, Xiaojie Wei et rheza (@ginggilBesel) pour leur aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: août 01, 2025