Over de beveiligingsinhoud van Safari 26.5

In dit document wordt de beveiligingsinhoud van Safari 26.5 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Safari 26.5

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan verhinderen dat de Content Security Policy wordt gehandhaafd

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2026-43660: Cantina

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan verhinderen dat de Content Security Policy wordt gehandhaafd

Beschrijving: het probleem is verholpen door verbeterde invoervalidatie.

CVE-2026-28907: Cantina

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan gevoelige gebruikersgegevens openbaar maken

Beschrijving: dit probleem is verholpen door verbeterde toegangsbeperkingen.

CVE-2026-28962: Luke Francis, Vaagn Vardanian, kwak kiyong / kakaogames, Vitaly Simonovich, Adel Bouachraoui, greenbynox

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte crash van Safari

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2026-43658: Do Young Park

CVE-2026-28984: Artem Dinaburg van Trail of Bits via Anthropic CVD

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2026-28905: Yuhao Hu, Yuanming Lai, Chenggang Wu en Zhe Wang

CVE-2026-28847: Idan Masas, DARKNAVY (@DarkNavyOrg), Anoniem in samenwerking met TrendAI Zero Day Initiative, Daniel Rhea

CVE-2026-28904: Luka Rački

CVE-2026-28955: wac en Kookhwan Lee in samenwerking met TrendAI Zero Day Initiative

CVE-2026-28903: Mateusz Krzywicki (iVerify.io)

CVE-2026-28953: Maher Azzouzi

CVE-2026-28902: Tristan Madani (@TristanInSec) van Talence Security, Nathaniel Oh (@calysteon)

CVE-2026-28901: Aisle Offensive Security Research Team (Joshua Rogers, Luigino Camastra, Igor Morgenstern en Guido Vranken), Maher Azzouzi, Ngan Nguyen van Calif.io

CVE-2026-28913: een anonieme onderzoeker

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2026-28883: kwak kiyong / kakaogames

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door middel van verbeterde gegevensbescherming.

CVE-2026-28958: Cantina

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde invoervalidatie.

CVE-2026-28917: Vitaly Simonovich

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte crash van Safari

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2026-28947: dr3dd

CVE-2026-28946: Gia Bui (@yabeow) van Calif.io, dr3dd, w0wbox

CVE-2026-28942: Milad Nasr en Nicholas Carlini met Claude, Anthropic

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: een kwaadaardig iframe kan de downloadinstellingen van een andere website gebruiken

Beschrijving: het probleem is verholpen door een verbeterde verwerking in de gebruikersinterface.

CVE-2026-28971: Khiem Tran

WebKit

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan de Content Security Policy omzeilen

Beschrijving: een omzeiling van de Content Security Policy is verholpen door verbeterde handhaving in AudioWorklet-contexten.

CVE-2026-43670: lebr0nli van National Yang Ming Chiao Tung University, Security and Systems Lab

WebRTC

Beschikbaar voor: macOS Sonoma en macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2026-28944: Kenneth Hsu van Palo Alto Networks, Jérôme DJOUDER, dr3dd

Aanvullende erkenning

Safari

Met dank aan Barath Stalin K (linkedin.com/in/barathstalin), sean mutuku voor de hulp.

Safari Push Notifications

Met dank aan Robert Mindo voor de hulp.

WebKit

Met dank aan Heiko Kiesel van SEEMOO, TU Darmstadt, Jaya Surya Kommireddy, Mihalis Haatainen, Milad Nasr en Nicholas Carlini met Claude, Anthropic, Muhammad Zaid Ghifari (Mr.ZheeV), Kalimantan Utara, Qadhafy Muhammad Tera, RedRays Security Team, Vitaly Simonovich, Yair Hoffman, greenbynox en een anonieme onderzoeker voor de hulp.

WebRTC

Met dank aan Hyeonji Son (@jir4vv1t) van Demon Team voor de hulp.