Сведения о проблемах системы безопасности, устраняемых обновлениями iOS 26 и iPadOS 26

В этом документе описаны проблемы системы безопасности, устраняемые в iOS 26 и iPadOS 26.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

iOS 26 и iPadOS 26

Дата выпуска: 15 сентября 2025 г.

Apple Neural Engine

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro 12,9 дюйма 3-го или более позднего поколения, iPad Pro 11 дюймов 1-го или более позднего поколения, iPad Air 3-го или более позднего поколения, iPad 8-го или более позднего поколения, iPad mini 5-го или более позднего поколения

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2025-43344: анонимный исследователь

AppleMobileFileIntegrity

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-43317: Mickey Jin (@patch1t)

Audio

Воздействие. Обработка вредоносного медиафайла может приводить к неожиданному завершению работы приложения или повреждению памяти процессов.

CVE-2025-43346: Hossein Lotfi (@hosselot) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

Bluetooth

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с ведением журнала устранена путем улучшения скрытия данных.

CVE-2025-43354: Csaba Fitzl (@theevilbit) из Kandji

CVE-2025-43303: Csaba Fitzl (@theevilbit) из Kandji

Call History

Воздействие. Приложение может снимать отпечатки пальцев пользователя.

Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2025-43357: Rosyna Keller из Totally Not Malicious Software, Guilherme Rambo из Best Buddy Apps (rambo.codes)

CoreAudio

Воздействие. Обработка вредоносного видеофайла может приводить к неожиданному завершению работы приложения.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2025-43349: @zlluny в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

CoreMedia

Описание. Проблема устранена путем улучшения проверки ввода.

CVE-2025-43372: 이동하 (Lee Dong Ha) из SSA Lab

IOHIDFamily

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2025-43302: Keisuke Hosoda

IOKit

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2025-31255: Csaba Fitzl (@theevilbit) из Kandji

Kernel

Воздействие. Серверный сокет UDP, привязанный к локальному интерфейсу, может стать привязанным ко всем интерфейсам.

Описание. Проблема с логикой устранена путем улучшенного управления состояниями.

CVE-2025-43359: Viktor Oreshkin

LaunchServices

Воздействие. Приложение может получить доступ к отслеживанию нажатий клавиш без разрешения пользователя.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-43362: Philipp Baldauf

MobileStorageMounter

Воздействие. Приложение может вызывать отказ в обслуживании.

Описание. Проблема смешения типов устранена путем улучшенной обработки памяти.

CVE-2025-43355: Dawuge из Shuffle Team

Notes

Воздействие. Злоумышленник с физическим доступом к разблокированному устройству может просмотреть изображение в недавно просмотренной заблокированной заметке.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2025-43203: Tom Brzezinski

Safari

Воздействие. Обработка вредоносного веб-контента может приводить к неожиданному перенаправлению URL-адреса.

Описание. Проблема устранена путем улучшения проверки URL-адресов.

CVE-2025-31254: Evan Waelde

Sandbox

Воздействие. Приложение может выходить за границы песочницы.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-43329: анонимный исследователь

Shortcuts

Воздействие. Быстрая команда может обойти ограничения изолированной среды.

Описание. Проблема с правами доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2025-43358: 정답이 아닌 해답

Siri

Воздействие. Вкладки в режиме «Частный доступ» могут быть доступны без аутентификации.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-30468: Richard Hyunho Im (@richeeta)

Spell Check

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема анализа при обработке путей к каталогам устранена путем улучшенной проверки путей.

CVE-2025-43190: Noah Gregory (wts.dev)

SQLite

Воздействие. При обработке файла возможно повреждение памяти.

Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительная информация о проблеме и идентификаторе CVE-ID приведена на сайте cve.org.

CVE-2025-6965

System

Воздействие. Устранена проблема, связанная с проверкой ввода.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2025-43347: JZ, Seo Hyun-gyu (@wh1te4ever), Luke Roberts (@rookuu)

Text Input

Воздействие. На экране блокировки в предложениях клавиатуры может отображаться конфиденциальная информация.

Описание. Эта проблема устранена путем ограничения предлагаемых вариантов на заблокированном устройстве.

CVE-2025-24133: Joey Hewitt, анонимный исследователь, Thomas Salomon, Sufiyan Gouri (Дармштадтский технический университет), Phil Scott (@MrPeriPeri), Richard Hyunho Im (@richeeta), Mark Bowers, Dylan Rollins, Arthur Baudoin, Andr.Ess

WebKit

Воздействие. Веб-сайт может получать доступ к данным датчиков без согласия пользователя.

Описание. Проблема устранена путем улучшенной обработки кэшей.

WebKit Bugzilla: 296153

CVE-2025-43356: Jaydev Ahire

WebKit

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

WebKit Bugzilla: 294550

CVE-2025-43272: Big Bear

WebKit

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

WebKit Bugzilla: 296490

CVE-2025-43343: анонимный исследователь

WebKit

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема с правильностью устранена путем улучшения проверок.

WebKit Bugzilla: 296042

CVE-2025-43342: анонимный исследователь

WebKit Process Model

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

WebKit Bugzilla: 296276

CVE-2025-43368: Pawel Wylecial из REDTEAM.PL в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

Дополнительные благодарности

Accessibility

Выражаем благодарность за помощь пользователям Abhay Kailasia (@abhay_kailasia) из C-DAC Thiruvananthapuram (Индия) и Himanshu Bharti (@Xpl0itme) из Khatima.

Accounts

Выражаем благодарность за помощь пользователям Lehan Dilusha Jayasingha и 要乐奈.

AuthKit

Выражаем благодарность за помощь пользователю Rosyna Keller из Totally Not Malicious Software.

Calendar

Выражаем благодарность за помощь пользователю Keisuke Chinone (Iroiro).

Camera

Выражаем благодарность за помощь пользователям Descartes, Yusuf Kelany и анонимному исследователю.

CFNetwork

Выражаем благодарность за помощь пользователю Christian Kohlschütter.

CloudKit

Выражаем благодарность за помощь пользователю Yinyi Wu (@_3ndy1) из подразделения Dawn Security Lab компании JD.com, Inc.

Control Center

Выражаем благодарность за помощь пользователю Damitha Gunawardena.

CoreMedia

Выражаем благодарность за помощь пользователю Noah Gregory (wts.dev).

darwinOS

Выражаем благодарность за помощь пользователю Nathaniel Oh (@calysteon).

Device Recovery

Выражаем благодарность за помощь анонимному исследователю.

Files

Выражаем благодарность за помощь пользователю Tyler Montgomery.

Foundation

Выражаем благодарность за помощь Csaba Fitzl (@theevilbit) из Kandji.

iCloud Photo Library

Выражаем благодарность за помощь пользователям Dawuge из Shuffle Team, Hikerell (Loadshine Lab), Joshua Jones, YingQi Shi (@Mas0nShi) и ChengQiang Jin (@白斩鸡) из лаборатории WeBin компании DBAppSecurity.

ImageIO

Выражаем благодарность за помощь пользователям DongJun Kim (@smlijun) и JongSeong Kim (@nevul37) из Enki WhiteHat.

IOGPUFamily

Выражаем благодарность за помощь Wang Yu из Cyberserval.

Kernel

Выражаем благодарность за помощь пользователям Yepeng Pan и проф., д-ру Christian Rossow.

libc

Выражаем благодарность за помощь пользователю Nathaniel Oh (@calysteon).

libpthread

Выражаем благодарность за помощь пользователю Nathaniel Oh (@calysteon).

libxml2

Выражаем благодарность за помощь пользователю Nathaniel Oh (@calysteon).

Lockdown Mode

Выражаем благодарность за помощь пользователям Jonathan Thach, Pyrophoria и Ethan Day, kado.

mDNSResponder

Выражаем благодарность за помощь пользователю Barrett Lyon.

MediaRemote

Выражаем благодарность за помощь пользователю Dora Orak.

MobileBackup

Выражаем благодарность за помощь пользователю Dragon Fruit Security (Davis Dai, ORAC落云, Frank Du).

Networking

Выражаем благодарность за помощь Csaba Fitzl (@theevilbit) из Kandji.

Notes

Выражаем благодарность за помощь пользователю Atul R V.

Passwords

Выражаем благодарность за помощь пользователю Christian Kohlschütter.

Phone

Выражаем благодарность за помощь пользователю Dalibor Milanovic.

Safari

Выражаем благодарность за помощь пользователям Ameen Basha M K, Chi Yuan Chang из ZUSO ART и taikosoup, Dalibor Milanovic, HitmanAlharbi (@HitmanF15), Jake Derouin (jakederouin.com), Jaydev Ahire и Kenneth Chew.

Sandbox Profiles

Выражаем благодарность за помощь пользователю Rosyna Keller из Totally Not Malicious Software.

Security

Выражаем благодарность за помощь пользователям Jatayu Holznagel (@jholznagel) и THANSEER KP.

Setup Assistant

Выражаем благодарность за помощь пользователю Edwin R.

Siri

Выражаем благодарность за помощь пользователям Abhay Kailasia (@abhay_kailasia) из Safran (Мумбай, Индия), Amandeep Singh Banga, Andrew Goldberg из Школы бизнеса Маккомбса, Техасский университет в Остине (linkedin.com/andrew-goldberg-/), Dalibor Milanovic и M. Aman Shahid (@amansmughal).

Siri Suggestions

Выражаем благодарность за помощь Abhay Kailasia (@abhay_kailasia) из C-DAC Thiruvananthapuram (Индия).

Spotlight

Выражаем благодарность за помощь пользователям Christian Scalese и Jake Derouin (jakederouin.com).

Status Bar

Выражаем благодарность за помощь пользователям Abhay Kailasia (@abhay_kailasia) из Safran (Мумбай, Индия), Dalibor Milanovic и Jonathan Thach.

Transparency

Выражаем благодарность за помощь пользователям Wojciech Regula из SecuRing (wojciechregula.blog) и 要乐奈.

User Management

Выражаем благодарность за помощь пользователю Muhaned Almoghira.

WebKit

Выражаем благодарность за помощь пользователям Bob Lord, Matthew Liang, Mike Cardwell из grepular.com и Stanley Lee Linton.

Wi-Fi

Выражаем благодарность за помощь пользователям Aobo Wang (@M4x_1997), Csaba Fitzl (@theevilbit) из Kandji, Noah Gregory (wts.dev), Wojciech Regula из SecuRing (wojciechregula.blog) и анонимному исследователю.

Widgets

Выражаем благодарность за помощь пользователю Abhay Kailasia (@abhay_kailasia) из Safran (Мумбай, Индия).

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.

Дата публикации: 19 сентября 2025 г.