Сведения о проблемах системы безопасности, устраняемых обновлениями iOS 18.7.5 и iPadOS 18.7.5

В этом документе описаны проблемы системы безопасности, устраняемые обновлениями iOS 18.7.5 и iPadOS 18.7.5.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

iOS 18.7.5 и iPadOS 18.7.5

Accessibility

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник с физическим доступом к заблокированному устройству может просматривать конфиденциальные данные пользователя.

Описание. Проблема с единообразием пользовательского интерфейса устранена путем улучшенного управления состояниями.

CVE-2026-20645: Loh Boon Keat

Books

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. При восстановлении вредоносного файла резервной копии возможно изменение защищенных системных файлов.

Описание. Проблема с обработкой пути устранена путем улучшенной проверки.

CVE-2025-43537: piffz, Daniel Nurkin, Sadman Adib, Mohamed Hamdadou & Mahran Alhazmi, Hichem Maloufi, Christian Mina, Gerson Aldaz, qwerty j0y & Ricardo Garcia, Dorian Del Valle

CFNetwork

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Удаленный пользователь может записывать произвольные файлы.

Описание. Проблема с обработкой путей устранена за счет улучшения логики.

CVE-2026-20660: Amy (amys.website)

CoreAudio

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного медиафайла может приводить к неожиданному завершению работы приложения или повреждению памяти процессов.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2026-20611: анонимный исследователь в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

CoreMedia

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного файла может вызывать отказ в обслуживании или раскрывать содержимое памяти.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20609: Yiğit Can YILMAZ (@yilmazcanyigit)

ImageIO

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного изображения может привести к раскрытию памяти процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20634: George Karchemsky (@gkarchemsky) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

ImageIO

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного изображения может приводить к раскрытию данных пользователя.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2026-20675: George Karchemsky (@gkarchemsky) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

Kernel

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может перехватывать сетевой трафик.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20671: Xin'an Zhou, Juefei Pu, Zhutian Liu, Zhiyun Qian, Zhaowei Tan, Srikanth V. Krishnamurthy, Mathy Vanhoef

LaunchServices

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может перечислять установленные пользователем приложения.

Описание. Проблема устранена путем удаления из журналов информации, не подлежащей разглашению.

CVE-2026-20663: Zhongcheng Li из отдела IES Red

libexpat

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного файла может приводить к отказу в обслуживании.

Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительная информация о проблеме и идентификаторе CVE-ID приведена на сайте cve.org.

CVE-2025-59375

libnetcore

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может перехватывать сетевой трафик.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20671: Xin'an Zhou, Juefei Pu, Zhutian Liu, Zhiyun Qian, Zhaowei Tan, Srikanth V. Krishnamurthy, Mathy Vanhoef

Live Captions

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник с физическим доступом к заблокированному устройству может просматривать конфиденциальные данные пользователя.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20655: Richard Hyunho Im (@richeeta) из Route Zero Security (routezero.security)

Mail

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Отключение загрузки удаленного содержимого в сообщениях могло распространяться на предварительный просмотр лишь некоторых сообщений.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20673: анонимный исследователь

Messages

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Быстрая команда может обойти ограничения изолированной среды.

Описание. Условие состязания устранено путем улучшения обработки символических ссылок.

CVE-2026-20677: Ron Masas из BreakPoint.SH

Model I/O

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного файла USD может приводить к неожиданному завершению работы приложения.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2026-20616: Michael DePlante (@izobashi) из Trend Micro в рамках программы Zero Day Initiative

Multi-Touch

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Вредоносное HID-устройство может вызвать неожиданное завершение процесса.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2025-43533: подразделение Threat Analysis Group компании Google

CVE-2025-46300: подразделение Threat Analysis Group компании Google

CVE-2025-46301: подразделение Threat Analysis Group компании Google

CVE-2025-46302: подразделение Threat Analysis Group компании Google

CVE-2025-46303: подразделение Threat Analysis Group компании Google

CVE-2025-46304: подразделение Threat Analysis Group компании Google

CVE-2025-46305: подразделение Threat Analysis Group компании Google

Safari

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может получить доступ к истории Safari пользователя.

Описание. Проблема с логикой устранена путем улучшенной проверки.

CVE-2026-20656: Mickey Jin (@patch1t)

Sandbox

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может выходить за границы песочницы.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2026-20628: Noah Gregory (wts.dev)

Sandbox Profiles

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20678: Óscar García Pérez, Stanislav Jelezoglo

Screenshots

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник может обнаружить удаленные заметки пользователя.

Описание. Проблема с логикой устранена путем улучшенного управления состояниями.

CVE-2026-20682: Viktor Lord Härringtón

Shortcuts

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема анализа при обработке путей к каталогам устранена путем улучшенной проверки путей.

CVE-2026-20653: Enis Maholli (enismaholli.com)

Spotlight

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение в изолированной среде может получать доступ к конфиденциальным данным пользователя.

Описание. Проблема устранена путем ввода дополнительных ограничений на возможность отслеживать состояния приложений.

CVE-2026-20680: анонимный исследователь

StoreKit

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может выявлять другие приложения, установленные пользователем.

Описание. Проблема с конфиденциальностью устранена путем улучшения проверок.

CVE-2026-20641: Gongyu Ma (@Mezone0)

UIKit

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может обходить определенные настройки конфиденциальности.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2026-20606: LeminLimez

Voice Control

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может вызвать сбой системного процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20605: @cloudlldb из @pixiepointsec

VoiceOver

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Злоумышленник с физическим доступом к заблокированному устройству может просматривать конфиденциальные данные пользователя.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20661: Dalibor Milanovic

WebKit

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2026-20608: HanQing из TSDubhe и Nan Wang (@eternalsakura13)

WebKit

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Удаленный злоумышленник может вызывать отказ в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20652: Nathaniel Oh (@calysteon)

WebKit

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20644: HanQing из TSDubhe и Nan Wang (@eternalsakura13)

CVE-2026-20635: EntryHi

Wi-Fi

Целевые продукты: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го поколения

Воздействие. Приложение может вызывать неожиданное завершение работы системы или повреждать память ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20621: Wang Yu из CyberServal

Дополнительные благодарности

ImageIO

Выражаем благодарность за помощь пользователю George Karchemsky (@gkarchemsky) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative.

Kernel

Выражаем благодарность за помощь пользователю Xinru Chi из Pangu Lab.

libpthread

Выражаем благодарность за помощь пользователю Fabiano Anemone.

WebKit

Выражаем благодарность за помощь пользователям EntryHi, Stanislav Fort из Aisle Research, Vsevolod Kokorin (Slonser) из Solidlab и Jorian Woltjer.