Obsah zabezpečenia v systéme macOS Tahoe 26.5

V tomto dokumente sa opisuje obsah zabezpečenia v systéme macOS Tahoe 26.5.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Aktuálne vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení si prečítajte na stránke o zabezpečení produktov Apple.

macOS Tahoe 26.5

Accelerate

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná spôsobiť odopretie služby

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28991: Seiji Sakurai (@HeapSmasher)

Accounts

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná obísť určité nastavenia súkromia

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2026-28988: Asaf Cohen

AirDrop

Dostupné pre: macOS Tahoe

Dosah: Útočník s oprávneniami v sieti môže byť schopný spôsobiť odopretie služby

Popis: Dosiahnuteľné tvrdenie bolo vyriešené pomocou vylepšenej validácie vstupov.

CVE-2026-43667: Arash Ale Ebrahim zo skupiny SCy-Phy výskumného tímu CISPA Helmholtz Center for Information Security

APFS

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie činnosti systému

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28959: Dave G.

App Intents

Dostupné pre: macOS Tahoe

Dopad: Apka so škodlivým kódom môže byť schopná pracovať mimo svojho sandboxu

Opis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2026-28995: Vamshi Paili, Tony Gorez (@tonygo_) z tímu Reverse Society

AppleJPEG

Dostupné pre: macOS Tahoe

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k odmietnutiu služby.

Opis: Ide o riziko v otvorenom kóde a softvér Apple patrí medzi ovplyvnené projekty. Záznam CVE-ID bol priradený treťou stranou. Viac informácií o probléme a zázname CVE-ID nájdete na lokalite cve.org.

CVE-2026-1837

AppleJPEG

Dostupné pre: macOS Tahoe

Dosah: Spracovanie mediálneho súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo k poškodeniu pamäti procesu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28956: impost0r (ret2plt), Nicholas Soh

Audio

Dostupné pre: macOS Tahoe

Dopad: Spracovanie zvukového streamu v mediálnom súbore so škodlivým kódom môže ukončiť proces

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-39869: David Ige z tímu Beryllium Security

BOM

Dostupné pre: macOS Tahoe

Dopad: Súbor ZIP so škodlivým kódom môže obísť kontroly funkcie Gatekeeper

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2026-28849: Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs

CoreMedia

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná získať prístup k súkromným informáciám

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2026-28922: Arni Hardarson

CoreServices

Dostupné pre: macOS Tahoe

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2026-28936: Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs

CoreSymbolication

Dostupné pre: macOS Tahoe

Dosah: Analýza súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Popis: Dochádzalo k problému s prístupom k dátam mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28918: Niels Hofmans, anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti TrendAI

CUPS

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať oprávnenia používateľa root

Popis: Dochádzalo k problému s analýzou pri spracovávaní ciest adresárov, ktorý bol vyriešený vylepšením overovania ciest.

CVE-2026-28915: Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs

curl

Dostupné pre: macOS Tahoe

Dosah: Viacero problémov v súčasti curl

Opis: Ide o riziko v otvorenom kóde a softvér Apple patrí medzi ovplyvnené projekty. Záznam CVE-ID bol priradený treťou stranou. Viac informácií o probléme a zázname CVE-ID nájdete na lokalite cve.org.

CVE-2025-14017

CVE-2025-14819

FileProvider

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Opis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-43659: Alex Radocea

GPU Drivers

Dostupné pre: macOS Tahoe

Dopad: Apka so škodlivým kódom môže byť schopná pracovať mimo svojho sandboxu

Opis: Dochádzalo k problému so zaznamenávaním, ktorý bol vyriešený vylepšením redigovania dát.

CVE-2026-28923: Kun Peeks (@SwayZGl1tZyyy)

HFS

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo zapisovať do pamäte jadra

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28925: Aswin Kumar Gokula Kannan, Dave G.

ImageIO

Dostupné pre: macOS Tahoe

Dosah: Spracovanie obrázka so škodlivým kódom môže poškodiť operačnú pamäť

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-43661: Gandalf4a of PKU-ICODE, Anton Pakhunov a anonymný výskumník

ImageIO

Dostupné pre: macOS Tahoe

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2026-28977: Suresh Sundaram

ImageIO

Dostupné pre: macOS Tahoe

Dosah: Spracovanie obrázka so škodlivým kódom môže poškodiť operačnú pamäť

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28990: Jiri Ha, Arni Hardarson

Installer

Dostupné pre: macOS Tahoe

Dopad: Apka so škodlivým kódom môže byť schopná pracovať mimo svojho sandboxu

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2026-28978: wdszzml a Atuin Automated Vulnerability Discovery Engine

IOHIDFamily

Dostupné pre: macOS Tahoe

Dosah: Útočník môže byť schopný spôsobiť neočakávané ukončenie apky

Popis: Nedostatočne zabezpečené miesto súvisiace s poškodením pamäte bolo odstránené vylepšením zamykania.

CVE-2026-28992: Johnny Franks (@0xjohnny)

IOHIDFamily

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná určiť rozloženie pamäte jadra

Opis: Dochádzalo k problému so zaznamenávaním, ktorý bol vyriešený vylepšením redigovania dát.

CVE-2026-28943: Threat Analysis Group spoločnosti Google

IOKit

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie činnosti systému

Opis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-28969: Mihalis Haatainen, Ari Hawking, Ashish Kunwar

IOSkywalkFamily

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná odhaliť obsah pamäte jadra

Opis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-39877: Richard Zana, Dhiyanesh Selvaraj (@redroot97)

IOSurfaceAccelerator

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo čítať pamäť jadra

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-43655: Somair Ansar a anonymný výskumník

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná odhaliť obsah pamäte jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-43654: Vaagn Vardanian, Nathaniel Oh (@calysteon)

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná upravovať chránené časti súborového systému

Popis: Problém súvisiaci s odmietnutím služby bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2026-28908: beist

Kernel

Dostupné pre: macOS Tahoe

Dopad: Obraz disku so škodlivým kódom môže obísť kontroly funkcie Gatekeeper

Opis: Dochádzalo k problému s obchádzaním karantény súborov, ktorý bol vyriešený pridaním kontrol.

CVE-2026-28954: Yiğit Can YILMAZ (@yilmazcanyigit)

Kernel

Dostupné pre: macOS Tahoe

Dopad: Lokálny používateľ môže byť schopný spôsobiť neočakávané ukončenie systému alebo čítať pamäť jadra

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28897: popku1337, Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) z tímu STAR Labs SG Pte. Ltd., Robert Tran, Aswin kumar Gokulakannan

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie činnosti systému

Popis: Dochádzalo k problému s pretečením celočíselných hodnôt, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28952: Calif.io v spolupráci s tímami Claude a Anthropic Research

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať oprávnenia používateľa root

Popis: Dochádzalo k problému súvisiacemu s autorizáciou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2026-28951: Csaba Fitzl (@theevilbit) z tímu Iru

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo zapisovať do pamäte jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28972: Billy Jheng Bing Jhong a Pan Zhenpeng (@Peterpan0927) z tímu STAR Labs SG Pte. Ltd., Ryan Hileman cez Xint Code (xint.io)

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť neočakávané ukončenie činnosti systému

Opis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-28986: Chris Betz, Tristan Madani (@TristanInSec) z tímu Talence Security, Ryan Hileman cez Xint Code (xint.io)

Kernel

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spôsobiť únik citlivých informácií o stave jadra

Opis: Dochádzalo k problému so zaznamenávaním, ktorý bol vyriešený vylepšením redigovania dát.

CVE-2026-28987: Dhiyanesh Selvaraj (@redroot97)

LaunchServices

Dostupné pre: macOS Tahoe

Dopad: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením kontrol.

CVE-2026-28983: Ruslan Dautov

libarchive

Dostupné pre: macOS Tahoe

Dopad: Súbor ZIP so škodlivým kódom môže obísť kontroly funkcie Gatekeeper

Opis: Dochádzalo k problému s obchádzaním karantény súborov, ktorý bol vyriešený pridaním kontrol.

CVE-2026-28900: Prathamesh Walunj (@attahasa)

Mail Drafts

Dostupné pre: macOS Tahoe

Dopad: Odpovedanie na e-mail mohlo v režime blokovania v apke Mail zobraziť vzdialené obrázky

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2026-28929: Yiğit Can YILMAZ (@yilmazcanyigit)

mDNSResponder

Dostupné pre: macOS Tahoe

Dopad: Útočník v miestnej sieti môže byť schopný spôsobiť odopretie služby

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-43653: Atul R V

mDNSResponder

Dostupné pre: macOS Tahoe

Dopad: Útočník v miestnej sieti môže byť schopný spôsobiť odopretie služby

Popis: Dochádzalo k problému s dereferenciou nulového smerníka, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-28985: Omar Cerrito

mDNSResponder

Dostupné pre: macOS Tahoe

Dopad: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-43668: Anton Pakhunov, Ricardo Prado

mDNSResponder

Dostupné pre: macOS Tahoe

Dopad: Útočník v miestnej sieti môže byť schopný spôsobiť odopretie služby

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-43666: Ian van der Wurff (ian.nl)

Model I/O

Dostupné pre: macOS Tahoe

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k odopretiu služby alebo k potenciálnemu odhaleniu obsahu pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2026-28941: Michael DePlante (@izobashi) z tímu TrendAI Zero Day Initiative

Model I/O

Dostupné pre: macOS Tahoe

Dosah: Spracovanie obrázka so škodlivým kódom môže poškodiť operačnú pamäť

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28940: Michael DePlante (@izobashi) z tímu TrendAI Zero Day Initiative

Network Extensions

Dostupné pre: macOS Tahoe

Dopad: Útočiaca osoba s fyzickým prístupom k zamknutému zariadeniu môže byť schopná zobraziť si citlivé informácie používateľa

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2026-28961: Dan Raviv

Networking

Dostupné pre: macOS Tahoe

Dosah: Útočník môže byť schopný sledovať používateľov prostredníctvom ich IP adresy

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2026-28906: Ilya Sc. Jowell A.

Quick Look

Dostupné pre: macOS Tahoe

Dosah: Analýza súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Opis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2026-43656: Peter Malone

Sandbox

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať prístup k chráneným používateľským dátam

Opis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2026-43652: Asaf Cohen

SceneKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie obrázka so škodlivým kódom môže poškodiť operačnú pamäť

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-39870: Peter Malone

SceneKit

Dostupné pre: macOS Tahoe

Dopad: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie apky

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28846: Peter Malone

Shortcuts

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať prístup k citlivým používateľským údajom

Popis: Tento problém bol vyriešený pridaním ďalšej výzvy na získanie súhlasu používateľa.

CVE-2026-28993: Doron Assness

SMB

Dostupné pre: macOS Tahoe

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie činnosti systému

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28848: Surya Kushwaha, Robert Tran, Peter Malone, Dave G. a Alex Radocea z tímu Supernetworks

Spotlight

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať prístup k chráneným používateľským dátam

Opis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2026-28930: Pan ZhenPeng (@Peterpan0927) z tímu STAR Labs SG Pte. Ltd.

Spotlight

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná spôsobiť odopretie služby

Popis: Tento problém bol vyriešený vylepšením kontrol, aby sa zabránilo neoprávneným akciám.

CVE-2026-28974: Andy Koo (@andykoo) z tímu Hexens

Storage

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Opis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-28996: Alex Radocea

StorageKit

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať oprávnenia používateľa root

Popis: Dochádzalo k problému s konzistentnosťou, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2026-28919: Amy (amys.website)

Sync Services

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná získať prístup ku kontaktom bez súhlasu používateľa

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2026-28924: Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs, YingQi Shi (@Mas0nShi) z laboratória WeBin spoločnosti DBAppSecurity

TV App

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná sledovať nechránené používateľské dáta

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením logiky.

CVE-2026-39871: anonymný výskumník

UserAccountUpdater

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná získať oprávnenia používateľa root

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-28976: David Ige – Beryllium Security

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením logiky.

CVE-2026-43660: Cantina

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Opis: Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2026-28907: Cantina

WebKit

Dostupné pre: macOS Tahoe

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k odhaleniu citlivých používateľských informácií

Popis: Tento problém bol vyriešený vylepšením obmedzení prístupu.

CVE-2026-28962: Luke Francis, Vaagn Vardanian, kwak kiyong/kakaogames, Vitaly Simonovich, Adel Bouachraoui, greenbynox

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu prehliadača Safari

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-43658: Do Young Park

CVE-2026-28984: Artem Dinaburg zo spoločnosti Trail of Bits prostredníctvom Anthropic CVD

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Opis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28905: Yuhao Hu, Yuanming Lai, Chenggang Wu a Zhe Wang

CVE-2026-28847: Idan Masas, DARKNAVY (@DarkNavyOrg), anonymný výskumník v spolupráci s projektom TrendAI Zero Day Initiative, Daniel Rhea

CVE-2026-28904: Luka Rački

CVE-2026-28955: wac a Kookhwan Lee v spolupráci s tímom projektu Zero Day Initiative spoločnosti TrendAI

CVE-2026-28903: Mateusz Krzywicki (iVerify.io)

CVE-2026-28953: Maher Azzouzi

CVE-2026-28902: Tristan Madani (@TristanInSec) z tímu Talence Security, Nathaniel Oh (@calysteon)

CVE-2026-28901: tím Offensive Security Research spoločnosti Aisle (Joshua Rogers, Luigino Camastra, Igor Morgenstern a Guido Vranken), Maher Azzouzi, Ngan Nguyen z tímu Calif.io

CVE-2026-28913: anonymný výskumník

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Opis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-28883: kwak kiyong/kakaogames

WebKit

Dostupné pre: macOS Tahoe

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením ochrany dát.

CVE-2026-28958: Cantina

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Opis: Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2026-28917: Vitaly Simonovich

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu prehliadača Safari

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-28947: dr3dd

CVE-2026-28946: Gia Bui (@yabeow) z tímu Calif.io, dr3dd, w0wbox

CVE-2026-28942: Milad Nasr a Nicholas Carlini v spolupráci s tímom Claude, Anthropic

WebKit

Dostupné pre: macOS Tahoe

Dopad: Prvok iframe so škodlivým kódom môže použiť nastavenia sťahovania inej webovej stránky

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania používateľského rozhrania.

CVE-2026-28971: Khiem Tran

WebKit

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom umožňuje obísť zásady CSP (Content Security Policy)

Opis: Obchádzanie zásad CSP (Content Security Policy) bolo vyriešené vylepšeným vynucovaním kontextov AudioWorklet.

CVE-2026-43670: lebr0nli z National Yang Ming Chiao Tung University, Security and Systems Lab

WebRTC

Dostupné pre: macOS Tahoe

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Opis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2026-28944: Kenneth Hsu z tímu Palo Alto Networks, Jérôme DJOUDER, dr3dd

Wi-Fi

Dostupné pre: macOS Tahoe

Dosah: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2026-28819: Wang Yu

Wi-Fi

Dostupné pre: macOS Tahoe

Dopad: Útočník s oprávneniami v sieti môže byť schopný vykonať útok zameraný na odmietnutie služby pomocou upravených paketov Wi-Fi

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2026-28994: Alex Radocea

zip

Dostupné pre: macOS Tahoe

Dopad: Súbor ZIP so škodlivým kódom môže obísť kontroly funkcie Gatekeeper

Opis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením spracovania súborov.

CVE-2026-28914: Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs (nosebeard.co)

zlib

Dostupné pre: macOS Tahoe

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k úniku citlivých dát

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený dodatočným overovaním.

CVE-2026-28920: Brendon Tiszka z tímu Google Project Zero

Ďalšie poďakovanie

App Intents

Poďakovanie za pomoc si zaslúži Mikael Kinnman.

App Store

Poďakovanie za pomoc si zaslúžia Asaf Cohen, Johan Wahyudi.

Apple Account

Poďakovanie za pomoc si zaslúžia Iván Savransky, Kun Peeks (@SwayZGl1tZyyy), YingQi Shi (@Mas0nShi) z laboratória WeBin spoločnosti DBAppSecurity.

Audio

Poďakovanie za pomoc si zaslúži Brian Carpenter.

bzip2

Poďakovanie za pomoc si zaslúžia Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs, Feng Xue a XGPT z tímu ThreatBook.

Calendar

Poďakovanie za pomoc si zaslúži hari shanmugam.

CoreAnimation

Poďakovanie za pomoc si zaslúži Jordan Pittman.

CoreUI

Poďakovanie za pomoc si zaslúži Mustafa Calap.

ICU

Poďakovanie za pomoc si zaslúži anonymný výskumník.

Kernel

Poďakovanie za pomoc si zaslúžia Ryan Hileman cez Xint Code (xint.io), anonymný výskumník.

libarchive

Poďakovanie za pomoc si zaslúžia Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs.

libnetcore

Poďakovanie za pomoc si zaslúžia Chris Staite a David Hardy z tímu Menlo Security Inc.

Libnotify

Poďakovanie za pomoc si zaslúži Ilias Morad (@A2nkF_).

Location

Poďakovanie za pomoc si zaslúži Kun Peeks (@SwayZGl1tZyyy).

mDNSResponder

Poďakovanie za pomoc si zaslúži Jason Grove.

Messages

Poďakovanie za pomoc si zaslúži Jeffery Kimbrow.

Music

Poďakovanie za pomoc si zaslúži Norman Becker.

Notes

Poďakovanie za pomoc si zaslúži Asilbek Salimov.

OpenSSH

Poďakovanie za pomoc si zaslúži Anand Patil.

Photos

Poďakovanie za pomoc si zaslúži Christopher Mathews.

ppp

Poďakovanie za pomoc si zaslúžia Cem Onat Karagun, Surya Kushwaha.

Safari

Poďakovanie za pomoc si zaslúžia Barath Stalin K (linkedin.com/in/barathstalin), sean mutuku.

Safari Push Notifications

Poďakovanie za pomoc si zaslúži Robert Mindo.

Security

Poďakovanie za pomoc si zaslúžia Ashmit Sharma a Atul RV, Dun, Maliq Barnard, Nicholas C. z tímu Onymos Inc. (onymos.com), Peter Malone, Robert M.

Siri

Poďakovanie za pomoc si zaslúži Yoav Magid.

Time Machine

Poďakovanie za pomoc si zaslúžia Andreas Jaegersberger a Ro Achterberg z tímu Nosebeard Labs.

Wallet

Poďakovanie za pomoc si zaslúži Asaf Cohen.

WebKit

Poďakovanie za pomoc si zaslúžia Heiko Kiesel of SEEMOO, TU Darmstadt, Jaya Surya Kommireddy, Mihalis Haatainen, Milad Nasr a Nicholas Carlini s Claude, Anthropic, Muhammad Zaid Ghifari (Mr.ZheeV), Kalimantan Utara, Qadhafy Muhammad Tera, RedRays Security Team, Vitaly Simonovich, Yair Hoffman, greenbynox a anonymný výskumník.

WebRTC

Poďakovanie za pomoc si zaslúži Hyeonji Son (@jir4vv1t) z projektu Demon Team.

Wi-Fi

Poďakovanie za pomoc si zaslúži Kun Peeks (@SwayZGl1tZyyy).