Сведения о проблемах системы безопасности, устраняемых обновлениями iOS 26.5.2 и iPadOS 26.5.2

Это обновление содержит исправления системы безопасности, которые впервые были внедрены в бета-версиях iOS 26.6 и iPadOS 26.6. В этом документе описаны проблемы системы безопасности, устраняемые обновлениями iOS 26.5.2 и iPadOS 26.5.2.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

iOS 26.5.2 и iPadOS 26.5.2

IOGPUFamily

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Условие состязания устранено путем улучшения обработки состояний.

CVE-2026-43743: Lyutoon, Dun

Kernel

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Приложение может вызывать неожиданное завершение работы системы или записывать данные в память ядра.

Описание. Проблема устранена путем улучшения очистки ввода.

CVE-2026-43724: Hyunwoo Kim (@v4bel)

Kernel

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Приложение может вызывать утечку конфиденциальных данных о состоянии ядра.

Описание. Проблема устранена путем улучшения очистки ввода.

CVE-2026-43722: Feng Xue и XGPT из ThreatBook, Hyunwoo Kim (@v4bel)

Kernel

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Приложение может вызывать неожиданное завершение работы системы или повреждать память ядра.

Описание. Проблема устранена путем улучшенной проверки ввода.

CVE-2026-39868: Vladislav Shevchenko (Positive Technologies), Ye Zhang (@VAR10CK) из Baidu Security, Billy Jheng Bing Jhong и Pan Zhenpeng (@Peterpan0927) из STAR Labs SG Pte. Ltd.

libxslt

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема двойного освобождения устранена путем улучшения управления памятью.

CVE-2026-43706: Tristan Madani (@TristanInSec) из Talence Security

libxslt

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-43703: Tristan Madani (@TristanInSec) из Talence Security

Web Extensions

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносное веб-расширение может приводить к неожиданному сбою процесса.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43704: пользователь dr3dd

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может привести к раскрытию конфиденциальных данных пользователя.

Описание. Проблема использования разных источников устранена путем улучшения отслеживания источников безопасности.

CVE-2026-43700: Vitaly Simonovich, Christian Meurer Xavier

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносный веб-сайт может вызывать утечку данных в другой домен.

Описание. Проблема устранена путем улучшения проверок.

CVE-2026-43735: Merrick Hare, Drinor Selmanaj (Sentry), Khai Tran, John Lussier, Rhyru9, Kwak Kiyong, Song Nuri

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43734: Jonathan Alush-Aben

CVE-2026-43726: Josef Korbel (Citadelo), Tristan Madani (@TristanInSec) из Talence Security, Gia Bui (@yabeow) из Calif.io, Narendra Singh (@_3P1C)

CVE-2026-43709

CVE-2026-43699: Tommy DeVoss из Braze Security Team (@thedawgyg)

CVE-2026-43742: Юлия Мерцалова

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может привести к раскрытию конфиденциальных данных пользователя.

Описание. Проблема с обработкой пути устранена путем улучшенной проверки.

CVE-2026-43732: Nan Wang (@eternalsakura13)

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к повреждению памяти.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43731: пользователь dr3dd

CVE-2026-43715: Milad Nasr и Nicholas Carlini в сотрудничестве с Claude, Anthropic

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43727: Tommy DeVoss из Braze Security Team (@thedawgyg), Gia Bui (@yabeow) из Calif.io, Gurpreet Shergill

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносный веб-сайт может обрабатывать онлайн-контент с ограниченным доступом за границами песочницы.

Описание. Проблема устранена путем улучшенной проверки ввода.

CVE-2026-43725: Luke Francis

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-43663: Soyeon Park, Amy Burnett, Khai Tran, sherkito, Kota Toda, HexRabbit (@h3xr4bb1t) и NiNi (@terrynini38514) из DEVCORE Research Team с использованием GLM от Z.AI, Tristan Madani (@TristanInSec) из Talence Security, Brian Carpenter

CVE-2026-39872: Utkarsh Pal, Ignacio Sanmillan (@ulexec)

CVE-2026-43712: Kwak Kiyong, Song Nuri, Tristan Madani (@TristanInSec) из Talence Security

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-43716: Tuan и Duc из Calif.io, OpenAI Codex Security - Amy Burnett, Evan Lambert

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2026-43676: Mateusz Krzywicki (iVerify.io), dr3dd, Tommy DeVoss из Braze Security Team (@thedawgyg)

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к раскрытию памяти процессов.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-43740: Nathaniel Oh (@calysteon), Arni Hardarson

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Посещение веб-сайта может приводить к утечке конфиденциальных данных.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2026-43713: Jody Ritonga

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносный веб-сайт может вызывать утечку данных в другой домен.

Описание. Проблема устранена путем улучшенной проверки ввода.

CVE-2026-43708: Behzad Najjarpour Jabbari (@_G4ru_)

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2026-43707: OpenAI Codex Security - Amy Burnett

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к повреждению памяти.

Описание. Проблема смешения типов устранена путем улучшенных проверок.

CVE-2026-43705: пользователь dr3dd

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносный веб-сайт может обрабатывать онлайн-контент с ограниченным доступом за границами песочницы.

Описание. Проблема устранена путем улучшения проверок.

CVE-2026-43701: Aaron Grattafiori - NVIDIA AI Red Team

WebKit

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2026-43745: OpenAI Codex Security - Amy Burnett, Khai Tran

WebKit Canvas

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43720: Gia Bui (@yabeow) из Calif.io, Josef Korbel

WebKit Storage

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Вредоносный веб-сайт может незаметно перехватывать данные буфера обмена.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

WebKit Bugzilla: 313478

CVE-2026-43721: Idan Masas

WebRTC

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2026-28979

WebRTC

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Переполнение стека устранено путем улучшенной проверки ввода.

CVE-2026-43718: Nan Wang (@eternalsakura13)

WebRTC

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro (12,9 дюйма, 3-го поколения) и более поздних моделей, iPad Pro (11 дюймов, 1-го поколения) и более поздних моделей, iPad Air (3-го поколения) и более поздних моделей, iPad (8-го поколения) и более поздних моделей, iPad mini (5-го поколения) и более поздних моделей

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою Safari.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2026-43717: Nan Wang (@eternalsakura13)

CVE-2026-43746: пользователь dr3dd

Дополнительные благодарности

libxslt

Выражаем благодарность за помощь пользователю Kubilay Berk Alkan.

WebKit

Выражаем благодарность за помощь пользователям Henock Habte и Souta Sugiyama.

WebKit JavaScript Bindings

Выражаем благодарность за помощь пользователю Karan Kurani.