Zawartość związana z zabezpieczeniami w systemach iOS 26.2 i iPadOS 26.2

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemach iOS 26.2 i iPadOS 26.2.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

iOS 26.2 oraz iPadOS 26.2

Wydano piątek, 12 grudnia 2025 r.

App Store

Dostępne dla: iPhone 11 i nowsze, iPad Pro 12,9 cala 3. generacji i nowsze, iPad Pro 11 cali 1. generacji i nowsze, iPad Air 3. generacji i nowsze, iPad 8. generacji i nowsze oraz iPad mini 5. generacji i nowsze

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych tokenów płatności.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-46288: floeki, Zhongcheng Li z IES Red Team w ByteDance

AppleJPEG

Zagrożenie: przetworzenie pliku może doprowadzić do uszkodzenia pamięci.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania granic.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Zagrożenie: atakujący może być w stanie podszyć się pod identyfikator FaceTime rozmówcy

Opis: usunięto błąd dotyczący niespójnego interfejsu użytkownika przez poprawienie mechanizmu zarządzania stanem.

CVE-2025-46287: anonimowy badacz, Riley Walz

curl

Zagrożenie: wiele błędów w komponentach curl.

Opis: jest to luka w kodzie open source, a oprogramowanie Apple jest jednym z wielu dotkniętych problemem. Ten identyfikator CVE został przypisany przez podmiot zewnętrzny. Dowiedz się więcej o problemie i identyfikatorze CVE-ID na stronie cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

Zagrożenie: pola haseł mogą zostać przypadkowo ujawnione podczas zdalnego sterowania urządzeniem przez FaceTime

Opis: ten problem naprawiono przez poprawienie zarządzania stanem.

CVE-2025-43542: Yiğit Ocak

Foundation

Zagrożenie: aplikacja może mieć możliwość nieuprawnionego dostępu do plików za pośrednictwem interfejsu API sprawdzania pisowni

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-43518: Noah Gregory (wts.dev)

Foundation

Zagrożenie: przetwarzanie złośliwych danych może prowadzić do nieoczekiwanego zamknięcia aplikacji

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-43532: Andrew Calvano i Lucas Pinheiro z Meta Product Security

Icons

Zagrożenie: aplikacja może być w stanie określić, jakie inne aplikacje zostały zainstalowane przez użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Zagrożenie: aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: problem przepełnienia liczb całkowitych został rozwiązany poprzez zastosowanie 64-bitowych znaczników czasu.

CVE-2025-46285: Kaitao Xie i Xiaolong Bai z Alibaba Group

libarchive

Zagrożenie: przetworzenie pliku może doprowadzić do uszkodzenia pamięci.

CVE-2025-5918

MediaExperience

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-43475: Rosyna Keller z Totally Not Malicious Software

Messages

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: usunięto błąd dotyczący ujawniania pamięci przez poprawienie mechanizmów kontroli prywatności.

CVE-2025-46276: Rosyna Keller z Totally Not Malicious Software

Multi-Touch

Zagrożenie: złośliwe urządzenie HID może spowodować nieoczekiwaną awarię procesu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-43533: Threat Analysis Group firmy Google

Photos

Zagrożenie: zdjęcia w albumie Ukryte zdjęcia można przeglądać bez uwierzytelniania.

Opis: naprawiono błąd konfiguracji przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-43428: anonimowy badacz, Michael Schmutzer z Technische Hochschule Ingolstadt

Screen Time

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do historii Safari użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-46277: Kirin (@Pwnrin)

Screen Time

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-43538: Iván Savransky

Telephony

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten błąd naprawiono przez dodanie kontroli uprawnień.

CVE-2025-46292: Rosyna Keller z Totally Not Malicious Software

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: naprawiono błąd nieprawidłowego rozpoznawania pamięci przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 301257

CVE-2025-43541: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 301726

CVE-2025-43536: Nan Wang (@eternalsakura13)

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 300774

WebKit Bugzilla: 301338

CVE-2025-43535: Google Big Sleep, Nan Wang (@eternalsakura13)

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd przepełnienia buforu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 301371

CVE-2025-43501: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto zjawisko wyścigu przez poprawienie obsługi stanu.

WebKit Bugzilla: 301940

CVE-2025-43531: Phil Pizlo z Epic Games

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu. Apple ma świadomość, że problem mógł być wykorzystywany w bardzo zaawansowanych atakach na określone osoby fizyczne z systemem iOS starszym niż iOS 26. CVE-2025-14174: wydano również w odpowiedzi na ten raport.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 302502

CVE-2025-43529: Threat Analysis Group firmy Google

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci. Apple ma świadomość, że problem mógł być wykorzystywany w bardzo zaawansowanych atakach na określone osoby fizyczne z systemem iOS starszym niż iOS 26. CVE-2025-43529: wydano również w odpowiedzi na ten raport.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

WebKit Bugzilla: 303614

CVE-2025-14174: Apple i Google Threat Analysis Group

WebKit Web Inspector

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 300926

CVE-2025-43511: 이동하 (Lee Dong Ha z BoB 14.)

Dodatkowe podziękowania

AppleMobileFileIntegrity

Dziękujemy anonimowemu badaczowi za pomoc.

AppSandbox

Dziękujemy za udzieloną pomoc: Mickey Jin (@patch1t).

Core Services

Dziękujemy Golden Helm Securities za pomoc.

Safari

Dziękujemy za udzieloną pomoc: Mochammad Nosa Shandy Prastyo.

Siri

Dziękujemy za udzieloną pomoc: Richard Hyunho Im (@richeeta) z Route Zero Security (routezero.security).

WebKit

Dziękujemy za udzieloną pomoc: Geva Nurgandi Syahputra (gevakun).

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: 18 grudnia 2025 г.