Zawartość związana z zabezpieczeniami w systemach iOS 26.1 i iPadOS 26.1

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemach iOS 26.1 i iPadOS 26.1.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

iOS 26.1 i iPadOS 26.1

Wydano 3 listopada 2025 r.

Accessibility

Dostępne dla: iPhone 11 i nowsze, iPad Pro 12,9 cala 3. generacji i nowsze, iPad Pro 11 cali 1. generacji i nowsze, iPad Air 3. generacji i nowsze, iPad 8. generacji i nowsze oraz iPad mini 5. generacji i nowsze

Zagrożenie: aplikacja może być w stanie określić, jakie inne aplikacje zostały zainstalowane przez użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-43442: Zhongcheng Li z IES Red Team w ByteDance

Apple Account

Zagrożenie: złośliwa aplikacja może być w stanie wykonać zrzut ekranu poufnych informacji w osadzonych widokach.

Opis: naprawiono błąd prywatności przez poprawienie procedur sprawdzania.

CVE-2025-43455: Ron Masas z BreakPoint.SH, Pinak Oza

Apple Neural Engine

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci jądra.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-43447: anonimowy badacz

CVE-2025-43462: anonimowy badacz

Apple TV Remote

Zagrożenie: złośliwa aplikacja może być w stanie śledzić użytkowników między instalacjami.

Opis: ten problem rozwiązano przez poprawienie obsługi pamięci podręcznych.

CVE-2025-43449: Rosyna Keller z Totally Not Malicious Software

AppleMobileFileIntegrity

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.

Opis: ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności łączy symbolicznych.

CVE-2025-43379: Gergely Kalman (@gergely_kalman)

Assets

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: ten błąd naprawiono przez poprawienie mechanizmu obsługi uprawnień.

CVE-2025-43407: JZ

Audio

Zagrożenie: atakujący mający fizyczny dostęp do odblokowanego urządzenia sparowanego z komputerem Mac może być w stanie przeglądać poufne informacje użytkownika w dziennikach systemowych.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-43423: Duy Trần (@khanhduytran0)

Camera

Zagrożenie: aplikacja może uzyskać informacje o bieżącym widoku aparatu, zanim uzyska dostęp do tego aparatu.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-43450: Dennis Briner

CloudKit

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności łączy symbolicznych.

CVE-2025-43448: Hikerell (Loadshine Lab)

Contacts

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-43426: Wojciech Regula z SecuRing (wojciechregula.blog)

Control Center

Zagrożenie: osoba atakująca może być w stanie przeglądać treści objęte ograniczeniami z poziomu zablokowanego ekranu.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-43350: Lukaah Marlowe

CoreServices

Zagrożenie: aplikacja może być w stanie odczytać listę aplikacji zainstalowanych przez użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-43436: Zhongcheng Li z IES Red Team w ByteDance

CoreText

Zagrożenie: przetworzenie złośliwie spreparowanego pliku multimedialnego może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-43445: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

FileProvider

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd dotyczący autoryzacji przez poprawienie mechanizmu zarządzania stanem.

CVE-2025-43498: pattern-f (@pattern_F_)

Find My

Zagrożenie: aplikacja może być w stanie wykonać odcisk palca tożsamości użytkownika.

Opis: rozwiązano błąd prywatności przez przeniesienie poufnych danych.

CVE-2025-43507: iisBuri

Installer

Zagrożenie: aplikacja może być w stanie wykonać odcisk palca tożsamości użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-43444: Zhongcheng Li z IES Red Team w ByteDance

Kernel

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zakończenie działania systemu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-43398: Cristian Dinca (icmd.tech)

libxpc

Zagrożenie: aplikacja działająca w piaskownicy może być w stanie obserwować połączenia sieciowe w całym systemie.

Opis: usunięto błąd dostępu przez wprowadzenie dodatkowych ograniczeń piaskownicy.

CVE-2025-43413: Dave G. i Alex Radocea z supernetworks.org

Mail Drafts

Zagrożenie: zawartość zdalna może zostać wczytana, nawet gdy ustawienie „Pobieraj obrazy zdalne” jest wyłączone.

Opis: ten problem rozwiązano przez dodanie dodatkowych procedur logicznych.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme z Khatima

MallocStackLogging

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: w procedurze obsługi zmiennych środowiskowych występował błąd. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności adresów.

CVE-2025-43294: Gergely Kalman (@gergely_kalman)

Model I/O

Zagrożenie: przetworzenie złośliwie spreparowanego pliku multimedialnego może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: usunięto błąd dostępu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-43386: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2025-43385: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2025-43384: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2025-43383: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

Multi-Touch

Zagrożenie: złośliwe urządzenie HID może spowodować nieoczekiwaną awarię procesu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania granic.

CVE-2025-43424: Google Threat Analysis Group

Notes

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2025-43389: Kirin (@Pwnrin)

On-device Intelligence

Zagrożenie: aplikacja może być w stanie wykonać odcisk palca tożsamości użytkownika.

Opis: rozwiązano problem z prywatnością przez usunięcie poufnych danych.

CVE-2025-43439: Zhongcheng Li z IES Red Team w ByteDance

Photos

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem dotyczący prywatności przez ulepszenie obsługi plików tymczasowych.

CVE-2025-43391: Asaf Cohen

Safari

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-43493: @RenwaX23

Safari

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do spreparowania interfejsu użytkownika.

Opis: usunięto błąd dotyczący niespójnego interfejsu użytkownika przez poprawienie mechanizmu zarządzania stanem.

CVE-2025-43503: @RenwaX23

Safari

Zagrożenie: aplikacja może być w stanie ominąć niektóre preferencje dotyczące prywatności.

Opis: rozwiązano problem z prywatnością przez usunięcie poufnych danych.

CVE-2025-43502: anonimowy badacz

Sandbox Profiles

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem dotyczący prywatności przez ulepszenie obsługi preferencji użytkownika.

CVE-2025-43500: Stanislav Jelezoglo

Siri

Zagrożenie: w urządzeniu może występować ciągły błąd blokady.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-43454: Joshua Thomas

Status Bar

Zagrożenie: osoba atakująca mająca fizyczny dostęp do zablokowanego urządzenia może być w stanie wyświetlić poufne informacje użytkownika.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-43460: Isaiah Wan

Stolen Device Protection

Dostępna dla: iPhone’a 11 i nowszych modeli

Zagrożenie: osoba atakująca mająca fizyczny dostęp do urządzenia może być w stanie wyłączyć funkcję Ochrona skradzionego urządzenia.

Opis: ten problem rozwiązano przez dodanie dodatkowych procedur logicznych.

CVE-2025-43422: Will Caine

Text Input

Zagrożenie: sugestie dotyczące klawiatury mogą wyświetlać poufne informacje na ekranie blokady.

Opis: ten problem rozwiązano przez ograniczenie opcji oferowanych na zablokowanym urządzeniu.

CVE-2025-43452: Thomas Salomon, Sufiyan Gouri (TU Darmstadt), Phil Scott (@MrPeriPeri) i Richard Hyunho Im (@richeeta), Mark Bowers, Joey Hewitt, Dylan Rollins, Arthur Baudoin, anonimowy badacz, Andr.Es

WebKit

Zagrożenie: złośliwie spreparowana witryna internetowa może przesyłać dane między różnymi źródłami.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

WebKit Bugzilla: 276208

CVE-2025-43480: Aleksejs Popovs

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

WebKit Bugzilla: 296693

CVE-2025-43458: Phil Beauvoir

WebKit Bugzilla: 298196

CVE-2025-43430: Google Big Sleep

WebKit Bugzilla: 298628

CVE-2025-43427: Gary Kwong, rheza (@ginggilBesel)

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

WebKit Bugzilla: 299843

CVE-2025-43443: anonimowy badacz

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 298496

CVE-2025-43441: rheza (@ginggilBesel)

WebKit Bugzilla: 299391

CVE-2025-43435: Justin Cohen z Google

WebKit Bugzilla: 298851

CVE-2025-43425: anonimowy badacz

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania

WebKit Bugzilla: 298126

CVE-2025-43440: Nan Wang (@eternalsakura13)

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 297662

CVE-2025-43438: shandikri pracujący w ramach programu Zero Day Initiative firmy Trend Micro

WebKit Bugzilla: 298606

CVE-2025-43457: Gary Kwong, Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

WebKit Bugzilla: 297958

CVE-2025-43434: Google Big Sleep

WebKit

Zagrożenie: aplikacja może monitorować naciśnięcia klawiszy bez zgody użytkownika.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

WebKit Bugzilla: 283718

CVE-2025-43495: Lehan Dilusha Jayasinghe

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 298093

CVE-2025-43433: Google Big Sleep

WebKit Bugzilla: 298194

CVE-2025-43431: Google Big Sleep

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 299313

CVE-2025-43432: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd przepełnienia buforu przez poprawienie mechanizmu sprawdzania ograniczeń.

WebKit Bugzilla: 298232

CVE-2025-43429: Google Big Sleep

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: rozwiązano wiele problemów poprzez wyłączenie opóźnionego przydzielania tablic.

WebKit Bugzilla: 300718

CVE-2025-43421: Nan Wang (@eternalsakura13)

WebKit Canvas

Zagrożenie: witryna internetowa może eksfiltrować dane obrazów z zewnętrznego źródła.

Opis: ten problem rozwiązano przez poprawienie obsługi pamięci podręcznych.

WebKit Bugzilla: 297566

CVE-2025-43392: Tom Van Goethem

Dodatkowe podziękowania

Accessibility

Dziękujemy za udzieloną pomoc: Abhay Kailasia (@abhay_kailasia) z Safran Mumbai India.

App Store

Dziękujemy za udzieloną pomoc: Bikesh Parajuli.

FaceTime

Dziękujemy za udzieloną pomoc: Un3xploitable.

Mail

Dziękujemy anonimowemu badaczowi za pomoc.

MobileInstallation

Dziękujemy za udzieloną pomoc: Bubble Zhang.

Photos

Dziękujemy za udzieloną pomoc: Abhay Kailasia (@abhay_kailasia) z Safran Mumbai India, Yusuf Kelany.

Safari

Dziękujemy za udzieloną pomoc: Barath Stalin K.

Safari Downloads

Dziękujemy za udzieloną pomoc: Saello Puza.

Screenshots

Dziękujemy anonimowemu badaczowi za pomoc.

Security

Dziękujemy za udzieloną pomoc: Mickey Jin (@patch1t).

Settings

Dziękujemy za udzieloną pomoc: Abhay Kailasia (@abhay_kailasia) z Safran Mumbai India.

Shortcuts

Dziękujemy zaudzieloną pomoc: BanKai, Benjamin Hornbeck, Chi Yuan Chang z ZUSO ART i taikosoup, Ryan May, Andrew James Gonzalez i anonimowy badacz.

Status Bar

Dziękujemy za udzieloną pomoc: Abhay Kailasia (@abhay_kailasia) z Safran Mumbai India, Dalibor Milanovic,

Synapse

Dziękujemy za udzieloną pomoc: Jake Derouin (jakederouin.com).

UIKit

Dziękujemy za udzieloną pomoc: Chi Yuan Chang z ZUSO ART i taikosoup.

WebKit

Dziękujemy za pomoc: Enis Maholli (enismaholli.com), Google Big Sleep.

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: 7 listopada 2025 г.