Over de beveiligingsinhoud van iOS 18.7.7 en iPadOS 18.7.7

Over de beveiligingsinhoud van iOS 18.7.7 en iPadOS 18.7.7.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

iOS 18.7.7 en iPadOS 18.7.7

802.1X

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk netwerkverkeer onderscheppen

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2026-28865: Héloïse Gollier en Mathy Vanhoef (KU Leuven)

AppleKeyStore

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2026-20637: Johnny Franks (zeroxjf), een anonieme onderzoeker

Audio

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2026-28879: Justin Cohen van Google

Clipboard

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het verwerken van een audiostream in een kwaadwillig vervaardigd mediabestand kan het proces beëindigen

Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.

CVE-2026-20690: Hossein Lotfi (@hosselot) van het Zero Day Initiative van Trend Micro

CoreUtils

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een gebruiker in een geprivilegieerde netwerkpositie kan een denial of service-aanval veroorzaken

Beschrijving: een null pointer-dereferentie is verholpen door verbeterde invoervalidatie.

CVE-2026-28886: Etienne Charron (Renault) en Victoria Martini (Renault)

Crash Reporter

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan mogelijk de geïnstalleerde apps van een gebruiker inventariseren

Beschrijving: een privacyprobleem is verholpen door gevoelige gegevens te verwijderen.

CVE-2026-28878: Zhongcheng Li van IES Red Team

curl

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: er was een probleem in curl dat ertoe kan leiden dat er onbedoeld gevoelige informatie wordt verstuurd via een onjuiste verbinding

Beschrijving: dit is een kwetsbaarheid in opensourcecode en Apple Software is een van de getroffen projecten. De CVE-ID is toegewezen door derden. Ga voor meer informatie over dit probleem en CVE-ID naar cve.org.

CVE-2025-14524

DeviceLink

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met het parseren bij de verwerking van directorypaden is verholpen door een verbeterde padvalidatie.

CVE-2026-28876: Andreas Jaegersberger & Ro Achterberg van Nosebeard Labs

Focus

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met logboekregistratie is verholpen door een verbeterde manier van onleesbaar maken van gegevens.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan mogelijk de geïnstalleerde apps van een gebruiker inventariseren

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2026-28880: Zhongcheng Li van IES Red Team

ImageIO

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht beëindigen van apps

Beschrijving: dit is een kwetsbaarheid in opensourcecode en Apple Software is een van de getroffen projecten. De CVE-ID is toegewezen door derden. Ga voor meer informatie over dit probleem en CVE-ID naar cve.org.

CVE-2025-64505

iTunes Store

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een gebruiker met fysieke toegang tot een iOS-apparaat kan het activeringsslot omzeilen

Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.

CVE-2025-43534: iG0x72 and JJ van XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: een probleem met logboekregistratie is verholpen door een verbeterde manier van onleesbaar maken van gegevens.

CVE-2026-28868: 이동하 (Lee Dong Ha of BoB 0xB6)

Kernel

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan gevoelige kernelstatus vrijgeven

Beschrijving: dit probleem is verholpen door verbeterde authenticatie.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2026-20687: Johnny Franks (@zeroxjf)

mDNSResponder

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan gevoelige kernelstatus vrijgeven

Beschrijving: dit probleem is verholpen door verbeterde authenticatie.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een lokale aanvaller kan toegang verkrijgen tot sleutelhangeronderdelen van een gebruiker

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2026-28864: Alex Radocea

UIFoundation

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een app kan mogelijk een denial-of-service veroorzaken

Beschrijving: een stackoverflow is verholpen door betere invoervalidatie.

CVE-2026-28852: Caspian Tarafdar

Vision

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het parsen van een kwaadwillige vervaardigd bestand kan leiden tot de onverwachte beëindiging van apps

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2026-20657: Andrew Becker

WebKit

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan verhinderen dat de Content Security Policy wordt gehandhaafd

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2026-20665: webb

WebKit

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan het Same Origin-beleid omzeilen

Beschrijving: een navigatie-API-probleem met meerdere oorzaken is aangepakt via verbeterde invoervalidatie.

CVE-2026-20643: Thomas Espach

WebKit

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een externe aanvaller kan mogelijk gelekte DNS-queries bekijken met Privédoorgifte ingeschakeld

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2025-43376: Mike Cardwell van grepular.com, Bob Lord

WebKit

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een kwaadaardige website kan toegang krijgen tot script message handlers die bedoeld zijn voor een andere oorsprong

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2026-28861: Hongze Wu and Shuaike Dong van Group Infrastructure Security Team

WebKit

Beschikbaar voor: iPhone XS, iPhone XS Max, iPhone XR, iPad 7e generatie

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot een cross-site scripting-aanval

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2026-28871: @hamayanhamayan

Aanvullende erkenning

Safari

Met dank aan @RenwaX23 voor de hulp.