Over de beveiligingsinhoud van iOS 18.7.2 en iPadOS 18.7.2

In dit document wordt de beveiligingsinhoud van iOS 18.7.2 en iPadOS 18.7.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

iOS 18.7.2 en iPadOS 18.7.2

Gepubliceerd op 5 november 2025

Accessibility

Beschikbaar voor: iPhone XS en nieuwer, iPad Pro 13-inch, iPad Pro 12,9-inch 3e generatie en nieuwer, iPad Pro 11-inch 1e generatie en nieuwer, iPad Air 3e generatie en nieuwer, iPad 7e generatie en nieuwer, en iPad mini 5e generatie en nieuwer

Impact: een app kan mogelijk identificeren welke andere apps een gebruiker heeft geïnstalleerd

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-43442: Zhongcheng Li van IES Red Team van ByteDance

App Store

Impact: een app kan mogelijk de vingerafdruk van de gebruiker afnemen

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-43444: Zhongcheng Li van IES Red Team van ByteDance

Audio

Impact: een aanvaller met fysieke toegang tot een ontgrendeld apparaat dat is gekoppeld met een Mac, kan vertrouwelijke gebruikersgegevens zien in de systeemregistratie

Beschrijving: een probleem met logboekregistratie is verholpen door een verbeterde manier van onleesbaar maken van gegevens.

CVE-2025-43423: Duy Trần (@khanhduytran0)

Camera

Impact: een app kan, voordat deze toegang tot de camera krijgt, mogelijk informatie krijgen over het actuele camerabeeld

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2025-43450: Dennis Briner

CloudKit

Impact: een app kan buiten zijn sandbox komen

Beschrijving: dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2025-43448: Hikerell (Loadshine Lab)

CoreText

Impact: het verwerken van een kwaadwillig vervaardigd mediabestand kan mogelijk leiden tot het onverwacht beëindigen van apps of het beschadigen van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2025-43445: Hossein Lotfi (@hosselot) van het Zero Day Initiative van Trend Micro

Find My

Impact: een app kan mogelijk de vingerafdruk van de gebruiker afnemen

Beschrijving: er is een privacyprobleem verholpen door gevoelige gegevens te verplaatsen.

CVE-2025-43507: iisBuri

Installer

Impact: een app kan mogelijk de vingerafdruk van de gebruiker afnemen

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-43444: Zhongcheng Li van IES Red Team van ByteDance

Kernel

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-43398: Cristian Dinca (icmd.tech)

Mail

Impact: extern materiaal kan worden geladen, zelfs als de instelling 'Laad externe afbeeldingen' is uitgeschakeld

Beschrijving: dit probleem is verholpen door extra logica toe te voegen.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme van Khatima

MetricKit

Impact: een geprivilegieerd proces kan in staat zijn om een onderliggend proces te beëindigen

Beschrijving: een denial-of-service-probleem is verholpen door verbeterde invoervalidatie.

CVE-2025-43365: Minghao Lin (@Y1nKoc) en Lyutoon (@Lyutoon_) en YingQi Shi (@Mas0n)

Model I/O

Impact: het verwerken van een kwaadwillig vervaardigd mediabestand kan mogelijk leiden tot het onverwacht beëindigen van apps of het beschadigen van procesgeheugen

Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.

CVE-2025-43386: Michael DePlante (@izobashi) van het Zero Day Initiative van Trend Micro

CVE-2025-43383: Michael DePlante (@izobashi) van het Zero Day Initiative van Trend Micro

CVE-2025-43385: Michael DePlante (@izobashi) van het Zero Day Initiative van Trend Micro

CVE-2025-43384: Michael DePlante (@izobashi) van het Zero Day Initiative van Trend Micro

Model I/O

Impact: een app kan mogelijk een denial-of-service veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2025-43377: BynarIO AI (bynar.io)

Notes

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door de kwetsbare code te verwijderen.

CVE-2025-43389: Kirin (@Pwnrin)

On-device Intelligence

Impact: een app kan mogelijk de vingerafdruk van de gebruiker afnemen

Beschrijving: een privacyprobleem is verholpen door gevoelige gegevens te verwijderen.

CVE-2025-43439: Zhongcheng Li van IES Red Team van ByteDance

Safari

Impact: het bezoeken van een kwaadaardige website kan leiden tot adresbalkvervalsing

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-43493: @RenwaX23

Safari

Impact: een bezoek aan een schadelijke website kan leiden tot vervalsing van de gebruikersinterface

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen door verbeterd statusbeheer.

CVE-2025-43503: @RenwaX23

Shortcuts

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door extra controles van de bevoegdheden.

CVE-2025-43499: een anonieme onderzoeker

Siri

Impact: het vergrendelen van een apparaat blijft mogelijk steeds mislukken

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-43454: Joshua Thomas

Siri

Impact: een app kan toegang krijgen tot beschermde gebruikersgegevens

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2025-43399: Kirin (@Pwnrin), Cristian Dinca (icmd.tech)

Spotlight

Impact: een aanvaller met fysieke toegang tot een vergrendeld apparaat kan mogelijk vertrouwelijke gebruikersgegevens raadplegen

Beschrijving: dit probleem is verholpen door de aangeboden opties op een vergrendeld apparaat te beperken.

CVE-2025-43418: Dalibor Milanovic

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte crash van Safari

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

WebKit Bugzilla: 297662

CVE-2025-43438: shandikri in samenwerking met het Zero Day Initiative van Trend Micro

WebKit Bugzilla: 297958

CVE-2025-43434: Google Big Sleep

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

WebKit Bugzilla: 296693

CVE-2025-43458: Phil Beauvoir

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot geheugenbeschadiging

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 298093

CVE-2025-43433: Google Big Sleep

WebKit Bugzilla: 298194

CVE-2025-43431: Google Big Sleep

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 298496

CVE-2025-43441: rheza (@ginggilBesel)

WebKit Bugzilla: 299391

CVE-2025-43435: Justin Cohen van Google

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.

WebKit Bugzilla: 298232

CVE-2025-43429: Google Big Sleep

WebKit

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: dit probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 299843

CVE-2025-43443: een anonieme onderzoeker

WebKit

Impact: een app kan mogelijk toetsaanslagen afkijken zonder toestemming van de gebruiker

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 300095

CVE-2025-43495: Lehan Dilusha Jayasinghe

WebKit Canvas

Impact: een website kan afbeeldingsgegevens 'cross-origin' exfiltreren

Beschrijving: het probleem is verholpen door verbeterde verwerking van caches.

WebKit Bugzilla: 297566

CVE-2025-43392: Tom Van Goethem

Aanvullende erkenning

Mail

Met dank aan een anonieme onderzoeker voor de hulp.

Shortcuts

Met dank aan Andrew James Gonzalez voor de hulp.

WebKit

Met dank aan Enis Maholli (enismaholli.com), Google Big Sleep voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: november 10, 2025