Проблеми системи безпеки, які усунено в оновленнях iOS 26 та iPadOS 26

У цьому документі описано проблеми системи безпеки, які усунено в оновленнях iOS 26 та iPadOS 26.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 26 та iPadOS 26

Apple Neural Engine

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2025-43344: анонімний дослідник

AppleMobileFileIntegrity

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2025-43317: Mickey Jin (@patch1t)

Audio

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого медіафайлу може призводити до неочікуваного завершення роботи програми або пошкодження пам’яті процесу.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2025-43346: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

Bluetooth

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2025-43354: Csaba Fitzl (@theevilbit) з Kandji

CVE-2025-43303: Csaba Fitzl (@theevilbit) з Kandji

Call History

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може знімати відбитки пальців користувача.

Опис: проблему вирішено завдяки вдосконаленню маскування конфіденційної інформації.

CVE-2025-43357: Rosyna Keller із Totally Not Malicious Software, Guilherme Rambo із Best Buddy Apps (rambo.codes)

CoreAudio

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого відеофайлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2025-43349: користувач @zlluny, що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

CoreMedia

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого медіафайлу може призводити до неочікуваного завершення роботи програми або пошкодження пам’яті процесу.

Опис: проблему вирішено завдяки вдосконаленню перевірки вводу.

CVE-2025-43372: 이동하 (Lee Dong Ha) із SSA Lab

IOHIDFamily

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2025-43302: Keisuke Hosoda

IOKit

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2025-31255: Csaba Fitzl (@theevilbit) з Kandji

Kernel

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: серверний сокет UDP, прив’язаний до локального інтерфейсу, може стати прив’язаним до всіх інтерфейсів.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

CVE-2025-43359: Viktor Oreshkin

LaunchServices

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може мати змогу відстежувати натискання клавіш без дозволу користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2025-43362: Philipp Baldauf

MobileStorageMounter

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2025-43355: Dawuge із Shuffle Team

Notes

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: зловмисник із фізичним доступом до розблокованого пристрою може переглядати зображення в нещодавно переглянутій замкненій нотатці.

Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.

CVE-2025-43203: Tom Brzezinski

Safari

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого вебконтенту може призводити до неочікуваного перенаправлення URL-адреси.

Опис: проблему усунено завдяки вдосконаленню перевірки URL-адреси.

CVE-2025-31254: Evan Waelde

Sandbox

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2025-43329: анонімний дослідник

Shortcuts

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: певна команда в ізольованому програмному середовищі може обходити обмеження цього середовища.

Опис: проблему з дозволами вирішено завдяки застосуванню додаткових обмежень ізольованого програмного середовища.

CVE-2025-43358: 정답이 아닌 해답

Siri

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: доступ до вкладок, відкритих у режимі «Приватний перегляд», може бути здійснено без автентифікації.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2025-30468: Richard Hyunho Im (@richeeta)

Spell Check

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2025-43190: Noah Gregory (wts.dev)

SQLite

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка файлу може призводити до пошкодження пам’яті.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-6965

System

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: вирішено проблему, пов’язану з перевіркою вводу.

Опис: проблему вирішено через видалення вразливого коду.

CVE-2025-43347: JZ, Seo Hyun-gyu (@wh1te4ever), Luke Roberts (@rookuu)

WebKit

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: вебсайт може отримувати доступ до даних датчиків без згоди користувача.

Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.

CVE-2025-43356: Jaydev Ahire

WebKit

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення роботи Safari.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2025-43272: Big Bear

WebKit

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2025-43343: анонімний дослідник

WebKit

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу

Опис: проблему з правильністю вирішено завдяки вдосконаленню перевірок.

CVE-2025-43342: анонімний дослідник

WebKit Process Model

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення роботи Safari.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2025-43368: Pawel Wylecial із REDTEAM.PL, що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

Додаткова подяка

Accessibility

Дякуємо за допомогу користувачам Abhay Kailasia (@abhay_kailasia) із C-DAC Thiruvananthapuram (Індія) і Himanshu Bharti (@Xpl0itme) із Khatima.

Accounts

Дякуємо за допомогу користувачам Lehan Dilusha Jayasingha і 要乐奈.

AuthKit

Дякуємо за допомогу користувачу Rosyna Keller із Totally Not Malicious Software.

Calendar

Дякуємо за допомогу користувачу Keisuke Chinone (Iroiro).

Camera

Дякуємо за допомогу користувачам Descartes, Yusuf Kelany й анонімному досліднику.

CFNetwork

Дякуємо за допомогу користувачу Christian Kohlschütter.

CloudKit

Дякуємо за допомогу користувачу Yinyi Wu (@_3ndy1) з Dawn Security Lab (JD.com).

Центр керування

Дякуємо за допомогу користувачу Damitha Gunawardena.

CoreMedia

Дякуємо Noah Gregory (wts.dev) за допомогу.

darwinOS

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

Device Recovery

Дякуємо за допомогу анонімному досліднику.

Files

Дякуємо за допомогу користувачу Tyler Montgomery.

Foundation

Дякуємо за допомогу користувачу Csaba Fitzl (@theevilbit) з Kandji.

iCloud Photo Library

Дякуємо за допомогу користувачам Dawuge із Shuffle Team, Hikerell (Loadshine Lab), Joshua Jones, YingQi Shi (@Mas0nShi) і ChengQiang Jin (@白斩鸡) з лабораторії WeBin компанії DBAppSecurity.

ImageIO

Дякуємо за допомогу користувачам DongJun Kim (@smlijun) і JongSeong Kim (@nevul37) з Enki WhiteHat.

IOGPUFamily

Дякуємо за допомогу користувачу Wang Yu із Cyberserval.

Kernel

Дякуємо за допомогу користувачу Yepeng Pan і проф., д-ру Christian Rossow.

libc

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

libpthread

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

libxml2

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

Lockdown Mode

Дякуємо за допомогу користувачам Pyrophoria й Ethan Day і команді kado.

mDNSResponder

Дякуємо за допомогу користувачу Barrett Lyon.

MediaRemote

Дякуємо за допомогу користувачу Dora Orak.

MobileBackup

Дякуємо за допомогу користувачу Dragon Fruit Security (Davis Dai, ORAC落云, Frank Du).

Networking

Дякуємо за допомогу користувачу Csaba Fitzl (@theevilbit) з Kandji.

Notes

Дякуємо за допомогу користувачу Atul R V.

Passwords

Дякуємо за допомогу користувачу Christian Kohlschütter.

Phone

Дякуємо за допомогу користувачу Dalibor Milanovic.

Safari

Дякуємо за допомогу користувачам Ameen Basha M K, Chi Yuan Chang із ZUSO ART і taikosoup, Dalibor Milanovic, HitmanAlharbi (@HitmanF15), Jake Derouin (jakederouin.com), Jaydev Ahire і Kenneth Chew.

Sandbox Profiles

Дякуємо за допомогу користувачу Rosyna Keller із Totally Not Malicious Software.

Безпека

Дякуємо за допомогу користувачам Jatayu Holznagel (@jholznagel) і THANSEER KP.

Setup Assistant

Дякуємо за допомогу користувачу Edwin R.

Siri

Дякуємо за допомогу користувачам Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Amandeep Singh Banga, Andrew Goldberg зі Школи бізнесу МакКомбса, Техаський університет в Остіні (linkedin.com/andrew-goldberg-/), Dalibor Milanovic і M. Aman Shahid (@amansmughal).

Siri Suggestions

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із C-DAC Thiruvananthapuram (Індія).

Spotlight

Дякуємо за допомогу користувачам Christian Scalese і Jake Derouin (jakederouin.com).

Status Bar

Дякуємо за допомогу користувачам Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Dalibor Milanovic і Jonathan Thach.

Transparency

Дякуємо за допомогу користувачу Wojciech Regula із SecuRing (wojciechregula.blog) і 要乐奈.

User Management

Дякуємо за допомогу користувачу Muhaned Almoghira.

WebKit

Дякуємо за допомогу користувачам Bob Lord, Matthew Liang, Mike Cardwell із grepular.com і Stanley Lee Linton.

Wi-Fi

Дякуємо за допомогу користувачам Aobo Wang (@M4x_1997), Csaba Fitzl (@theevilbit) з Kandji, Noah Gregory (wts.dev), Wojciech Regula із SecuRing (wojciechregula.blog) та анонімному досліднику.

Widgets

Дякуємо за допомогу користувачу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія).