מידע על תוכן האבטחה של iOS 26.2 ו-iPadOS 26.2

המסמך הזה מתאר את תוכן האבטחה של iOS 26.2 ו-iPadOS 26.2.

מידע על עדכוני האבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת אותן עד לביצוע חקירה בנושא ויש גרסאות חדשות או תיקונים זמינים. מהדורות אחרונות מופיעות בעמוד מהדורות האבטחה של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID במידת האפשר.

למידע נוסף על אבטחה, עיינו בעמוד אבטחת מוצרי Apple.

iOS 26.2 ו-iPadOS 26.2

הופץ ב-12 בדצמבר 2025

App Store

זמין עבור: iPhone 11 ואילך, iPad Pro בגודל 12.9 אינץ' דור שלישי ואילך, iPad Pro בגודל 11 אינץ' דור ראשון ואילך, iPad Air דור שלישי ואילך, iPad דור שמיני ואילך ו-iPad mini דור חמישי ואילך

השפעה: יישום עלול להצליח לגשת לנתונים רגישים של אסימוני תשלום

תיאור: בעיית הרשאות טופלה באמצעות הגבלות נוספות.

CVE-2025-46288: ‏Zhongcheng Li מצוות IES Red Team של ByteDance

AppleJPEG

השפעה: עיבוד קובץ עלול להוביל להשחתת זיכרון

תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.

CVE-2025-43539‏: Michael Reeves ‏(‎@IntegralPilot)

Calling Framework

השפעה: תוקף עשוי לזייף את מזהה השיחה ב-FaceTime

תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצבים משופר.

CVE-2025-46287: חוקר אנונימי, Riley Walz

curl

השפעה: מספר בעיות ב-curl

תיאור: זו פגיעות בקוד מקור פתוח ותוכנת Apple היא בין הפרויקטים המושפעים. ה-CVE-ID הוקצה על-ידי צד שלישי. ניתן לקבל מידע נוסף על הבעיה ועל CVE-ID בכתובת cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

השפעה: שדות הסיסמאות עשויים להיות גלויים באופן לא מכוון במהלך שליטה מרחוק במכשיר ב-FaceTime

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2025-43542: Yiğit Ocak

Foundation

השפעה: עשויה להיות ליישום גישה לא הולמת לקבצים דרך ה-API של בודק האיות

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2025-43518: ‏Noah Gregory (wts.dev)

Foundation

השפעה: עיבוד נתונים זדוניים עלול להוביל לסיום בלתי צפוי של יישום

תיאור: בעיית השחתת זיכרון טופלה באמצעות בדיקת טווח משופרת.

CVE-2025-43532: ‏Andrew Calvano ו-Lucas Pinheiro מ-Meta Product Security

Icons

השפעה: יישום עלול להצליח לזהות אילו יישומים אחרים התקין המשתמש

תיאור: בעיית הרשאות טופלה באמצעות הגבלות נוספות.

CVE-2025-46279: ‏Duy Trần (‏@khanhduytran0)

Kernel

השפעה: יישום עלול להצליח לקבל הרשאות בסיס

תיאור: גלישה נומרית טופלה על ידי שימוש בחותמות זמן של 64 סיביות.

CVE-2025-46285: Kaitao Xie ו-Xiaolong Bai מקבוצת Alibaba

libarchive

השפעה: עיבוד קובץ עלול להוביל להשחתת זיכרון

CVE-2025-5918

MediaExperience

השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש

תיאור: בעיית התחברות טופלה באמצעות צנזור משופר של נתונים.

CVE-2025-43475: ‏Rosyna Keller מ-Totally Not Malicious Software

Messages

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיה של חשיפת מידע טופלה באמצעות בקרות פרטיוּת משופרות.

CVE-2025-46276: ‏Rosyna Keller מ-Totally Not Malicious Software

Multi-Touch

השפעה: התקן ממשק אנושי (HID) זדוני עשוי לגרום לתהליך לקרוס באופן בלתי צפוי

תיאור: מספר בעיות של השחתת זיכרון טופלו באמצעות שיפור אימות הקלט.

CVE-2025-43533: ‏Google Threat Analysis Group

Photos

השפעה: ייתכן שתמונות באלבום 'תמונות מוסתרות' יוצגו ללא אימות

תיאור: בעיית תצורה טופלה באמצעות הגבלות נוספות.

CVE-2025-43428: חוקר אנונימי, Michael Schmutzer מ-Technische Hochschule Ingolstadt

Screen Time

השפעה: יישום עלול להצליח לגשת להיסטוריה של המשתמש ב-Safari

תיאור: בעיית התחברות טופלה באמצעות צנזור משופר של נתונים.

CVE-2025-46277: ‏Kirin ‏‏(‏‏@Pwnrin)

Screen Time

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית התחברות טופלה באמצעות צנזור משופר של נתונים.

CVE-2025-43538: ‏Iván Savransky

Telephony

השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש

תיאור: בעיה זו טופלה באמצעות בדיקות הרשאות נוספות.

CVE-2025-46292: Rosyna Keller מ-Totally Not Malicious Software

WebKit

השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל לקריסה לא צפויה של Safari

תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר במצב.

WebKit Bugzilla: ‏301257

CVE-2025-43541: ‏Hossein Lotfi ‏(@hosselot) מ-Trend Micro Zero Day Initiative

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

WebKit Bugzilla: ‏301726

CVE-2025-43536:‏ Nan Wang ‏(@eternalsakura13)

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

WebKit Bugzilla: ‏300774

WebKit Bugzilla: ‏301338

CVE-2025-43535: ‏Google Big Sleep, ‏Nan Wang (‏@eternalsakura13)

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.

WebKit Bugzilla: ‏301371

CVE-2025-43501: Hossein Lotfi (@hosselot) מ-Trend Micro Zero Day Initiative

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: מצב מרוץ טופל באמצעות טיפול משופר במצבים.

WebKit Bugzilla: ‏301940

CVE-2025-43531: ‏Phil Pizlo מ-Epic Games

WebKit

השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי. Apple מודעת לדיווח שלפיו ייתכן שבעיה זו נוצלה לרעה בהתקפה מתוחכמת במיוחד שכוונה נגד אנשים ספציפיים בגרסאות iOS שקודמות ל-iOS 26. פורסמה גם תגובה מצד CVE-2025-14174 לגבי הדיווח הזה.

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

WebKit Bugzilla: ‏302502

CVE-2025-43529: ‏Google Threat Analysis Group

WebKit

השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להשחתת זיכרון. Apple מודעת לדיווח שלפיו ייתכן שבעיה זו נוצלה לרעה בהתקפה מתוחכמת במיוחד שכוונה נגד אנשים ספציפיים בגרסאות iOS שקודמות ל-iOS 26. פורסמה גם תגובה מצד CVE-2025-43529 לגבי הדיווח הזה.

תיאור: בעיית השחתת זיכרון טופלה באמצעות שיפור האימות.

WebKit Bugzilla: ‏303614

CVE-2025-14174: ‏Apple ו-Google Threat Analysis Group

WebKit Web Inspector

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

WebKit Bugzilla: ‏300926

CVE-2025-43511: ‏이동하 ‏(Lee Dong Ha of BoB 14th)

תודות נוספות

AppleMobileFileIntegrity

אנחנו מבקשים להודות לחוקר אנונימי על הסיוע.

AppSandbox

אנחנו מבקשים להודות ל-Mickey Jin ‏(‎@patch1t) על הסיוע.

Core Services

אנחנו מבקשים להודות ל-Golden Helm Securities על הסיוע.

Safari

אנחנו מבקשים להודות ל-Mochammad Nosa Shandy Prastyo על הסיוע.

Siri

אנחנו מבקשים להודות ל-Richard Hyunho Im ‏(@richeeta) מ-Route Zero Security ‏(routezero.security) על הסיוע.

WebKit

אנחנו מבקשים להודות ל-Geva Nurgandi Syahputra ‏(gevakun) על הסיוע.

מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.

פורסם בתאריך: 18 בדצמבר 2025