À propos des correctifs de sécurité d’iOS 18.7.2 et d’iPadOS 18.7.2

Ce document décrit les correctifs de sécurité d’iOS 18.7.2 et d’iPadOS 18.7.2.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 18.7.2 et iPadOS 18.7.2

Publié le 5 novembre 2025

Accessibility

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 13 pouces, iPad Pro 12,9 pouces (3e génération) et modèles ultérieurs, iPad Pro 11 pouces (1re génération) et modèles ultérieurs, iPad Air (3e génération) et modèles ultérieurs, iPad (7e génération) et modèles ultérieurs, iPad mini (5e génération) et modèles ultérieurs

Conséquence : une app peut identifier les autres apps qu’un utilisateur a installées.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43442 : Zhongcheng Li de l’IES Red Team de ByteDance

App Store

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43444 : Zhongcheng Li de l’IES Red Team de ByteDance

Audio

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil déverrouillé et jumelé à un Mac pourrait consulter des informations sensibles sur l’utilisateur dans les historiques du système.

Description : un problème de journalisation a été résolu par l’amélioration du masquage des données.

CVE-2025-43423 : Duy Trần (@khanhduytran0)

Camera

Conséquence : une app peut être en mesure d’obtenir des informations sur la vue de l’appareil photo avant d’obtenir l’accès à l’appareil photo

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2025-43450 : Dennis Briner

CloudKit

Conséquence : une app pourrait sortir de sa sandbox.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2025-43448 : Hikerell (Loadshine Lab)

CoreText

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2025-43445 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

Find My

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème de confidentialité a été résolu par le déplacement de données sensibles.

CVE-2025-43507 : iisBuri

Installer

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2025-43444 : Zhongcheng Li de l’IES Red Team de ByteDance

Kernel

Conséquence : une app pourrait provoquer un arrêt inopiné du système.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2025-43398 : Cristian Dinca (icmd.tech)

Mail

Conséquence : un contenu distant pourrait être chargé, même lorsque le réglage « Charger les images distantes » est désactivé

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2025-43496 : Romain Lebesle et Himanshu Bharti @Xpl0itme de Khatima

MetricKit

Conséquence : un processus ne bénéficiant pas de privilèges peut être en mesure de mettre fin à un processus racine

Description : un problème de déni de service a été résolu par une meilleure validation des entrées.

CVE-2025-43365 : Minghao Lin (@Y1nKoc) and Lyutoon (@Lyutoon_) et YingQi Shi (@Mas0n)

Model I/O

Conséquence : le traitement d’un fichier média malveillant pourrait entraîner la fermeture inopinée d’une app ou une corruption de la mémoire de traitement.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43386 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43383 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43385 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

CVE-2025-43384 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

Model I/O

Conséquence : une app pourrait être en mesure de provoquer un déni de service.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2025-43377 : BynarIO AI (bynar.io)

Notes

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu par la suppression du code vulnérable.

CVE-2025-43389 : Kirin (@Pwnrin)

On-device Intelligence

Conséquence : une app peut être en mesure de relever l’empreinte digitale de l’utilisateur.

Description : un problème de confidentialité a été résolu par la suppression de données sensibles.

CVE-2025-43439 : Zhongcheng Li de l’IES Red Team de ByteDance

Safari

Conséquence : la consultation d’un site web malveillant pourrait entraîner une utilisation détournée de la barre d’adresse.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2025-43493 : @RenwaX23

Safari

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de l’interface utilisateur.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2025-43503 : @RenwaX23

Shortcuts

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : le problème a été résolu par une vérification supplémentaire des autorisations.

CVE-2025-43499 : un chercheur anonyme

Siri

Conséquence : le verrouillage d’un appareil peut échouer de manière systématique

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2025-43454 : Joshua Thomas

Siri

Conséquence : une app pourrait accéder à des données utilisateur protégées.

Description : ce problème a été résolu par l’amélioration du masquage des informations sensibles.

CVE-2025-43399 : Kirin (@Pwnrin), Cristian Dinca (icmd.tech)

Spotlight

Conséquence : un attaquant bénéficiant d’un accès physique à un appareil verrouillé pourrait consulter des informations sensibles de l’utilisateur.

Description : ce problème a été résolu par la limitation des options proposées sur un appareil verrouillé.

CVE-2025-43418 : Dalibor Milanovic

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de Safari.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 297662

CVE-2025-43438 : shandikri en collaboration avec le programme Zero Day Initiative de Trend Micro

WebKit Bugzilla : 297958

CVE-2025-43434 : Big Sleep de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 296693

CVE-2025-43458 : Phil Beauvoir

WebKit

Conséquence : le traitement d’un contenu web malveillant pourrait entraîner une corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298093

CVE-2025-43433 : Big Sleep de Google

WebKit Bugzilla : 298194

CVE-2025-43431 : Big Sleep de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 298496

CVE-2025-43441 : rheza (@ginggilBesel)

WebKit Bugzilla : 299391

CVE-2025-43435 : Justin Cohen de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.

WebKit Bugzilla : 298232

CVE-2025-43429 : Big Sleep de Google

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : ce problème a été résolu par la réalisation de meilleures vérifications.

WebKit Bugzilla : 299843

CVE-2025-43443 : un chercheur anonyme

WebKit

Conséquence : une application peut être en mesure de surveiller la saisie au clavier sans l’autorisation de l’utilisateur.

Description : le problème a été résolu par de meilleures vérifications.

WebKit Bugzilla : 300095

CVE-2025-43495 : Lehan Dilusha Jayasinghe

WebKit Canvas

Conséquence : un site web est susceptible d’extraire des données d’image provenant d’origines multiples.

Description : le problème a été résolu par une meilleure gestion des caches.

WebKit Bugzilla : 297566

CVE-2025-43392 : Tom Van Goethem

Remerciements supplémentaires

Mail

Nous tenons à remercier un chercheur anonyme pour son aide.

Shortcuts

Nous tenons à remercier Andrew James Gonzalez pour son aide.

WebKit

Nous tenons à remercier Enis Maholli (enismaholli.com) et Big Sleep de Google pour leur aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: novembre 10, 2025