Проблеми системи безпеки, які усунено в оновленнях iOS 26.4 та iPadOS 26.4

У цьому документі описано проблеми системи безпеки, які усунено в оновленнях iOS 26.4 та iPadOS 26.4.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 26.4 та iPadOS 26.4

Дата випуску: 24 березня 2026 р.

802.1X

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма 3-го або новішого покоління, iPad Pro 11 дюймів 1-го або новішого покоління, iPad Air 3-го або новішого покоління, iPad 8-го або новішого покоління, а також iPad mini 5-го або новішого покоління

Вплив: зловмисник із привілейованим положенням у мережі може перехоплювати мережевий трафік.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-28865: Héloïse Gollier і Mathy Vanhoef (KU Leuven)

Accounts

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28877: Rosyna Keller із Totally Not Malicious Software

App Protection

Цільові продукти: iPhone 11 і новіші моделі

Вплив: зловмисник, який має фізичний доступ до пристрою iOS, на якому ввімкнено функцію «Захист украденого пристрою», може отримати доступ до захищених програм, що вимагають біометричні дані, за допомогою коду допуску.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28895: Zack Tickman

Audio

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28879: Justin Cohen із Google

Audio

Вплив: зловмисник може спричиняти несподіване завершення роботи програми.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-28822: Jex Amro

Baseband

Вплив: віддалений зловмисник може призвести до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28874: Hazem Issa, Tuan D. Hoang і Yongdae Kim @ SysSec, KAIST

Baseband

Цільові продукти: iPhone 16e

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28875: Tuan D. Hoang і Yongdae Kim @ KAIST SysSec Lab

Calling Framework

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему відмови в обслуговуванні вирішено шляхом поліпшення перевірки вводу.

CVE-2026-28894: анонімний дослідник

Clipboard

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню перевірки символьних посилань.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Вплив: обробка аудіопотоку в шкідливому медіафайлі може завершити процес.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2026-20690: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

CoreUtils

Вплив: користувач із привілейованим положенням у мережі може спричинити відмову в обслуговуванні.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-28886: Etienne Charron (Renault) та Victoria Martini (Renault)

Crash Reporter

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему приватності вирішено завдяки вилученню конфіденційних даних.

CVE-2026-28878: Zhongcheng Li з відділу IES Red

curl

Вплив: у curl було виявлено проблему, яка може призвести до ненавмисного надсилання конфіденційної інформації через неправильне зʼєднання.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-14524

DeviceLink

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-28876: Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs

GeoServices

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: витік інформації було усунено за допомогою додаткової перевірки.

CVE-2026-28870: XiguaSec

iCloud

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28880: Zhongcheng Li з відділу IES Red

CVE-2026-28833: Zhongcheng Li з відділу IES Red

ImageIO

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

CVE-2025-64505

Kernel

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28868: 이동하 (Lee Dong Ha з BoB 0xB6)

Kernel

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-20698: DARKNAVY (@DarkNavyOrg)

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20687: Johnny Franks (@zeroxjf)

libxpc

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28882: Ilias Morad (A2nkF) із Voynich Group, Duy Trần (@khanhduytran0), @hugeBlack

Mail

Вплив: команди «Приховувати IP‑адресу» та «Блокувати весь віддалений вміст» можуть не застосовуватися до всього вмісту е-листів.

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки користувацьких налаштувань.

CVE-2026-20692: Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs

Printing

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-20688: wdszzml і автоматизована система виявлення вразливостей Atuin

Sandbox Profiles

Вплив: програма може знімати відбитки пальців користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28863: Gongyu Ma (@Mezone0)

Security

Вплив: локальний зловмисник може отримати доступ до елементів В’язки користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірки дозволів.

CVE-2026-28864: Alex Radocea

Siri

Вплив: зловмисник, який має фізичний доступ до заблокованого пристрою, може переглянути конфіденційну інформацію користувача.

Опис: цю проблему усунено завдяки вдосконаленню автентифікації.

CVE-2026-28856: анонімний дослідник

Telephony

Вплив: віддалений користувач може спричиняти несподіване завершення роботи системи або пошкодження пам’яті ядра.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28858: Hazem Issa та Yongdae Kim із SysSec, KAIST

UIFoundation

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: переповнення стека усунено завдяки поліпшенню перевірки вводу.

CVE-2026-28852: Caspian Tarafdar

WebKit

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Вплив: обробка шкідливого вебконтенту може порушувати політику того самого походження.

Опис: проблему перехресного походження з Navigation API усунено завдяки вдосконаленню перевірки вводу.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Вплив: відвідання вебсайту, розробленого зловмисниками, може призводити до атаки з використанням міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

WebKit

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

WebKit Bugzilla: 306136

CVE-2026-20664: Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky та Switch, Yevhen Pervushyn

WebKit Bugzilla: 307723

CVE-2026-28857: Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea, Nathaniel Oh (@calysteon)

WebKit

Вплив: зловмисний вебсайт може отримати доступ до обробників повідомлень сценаріїв, призначених для інших джерел.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu та Shuaike Dong з Ant Group Infrastructure Security Team

WebKit

Вплив: зловмисний вебсайт може обробляти обмежений вебконтент поза межами ізольованого середовища.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

WebKit Bugzilla: 308248

CVE-2026-28859: greenbynox, Arni Hardarson

WebKit Sandboxing

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 306827

CVE-2026-20691: Gongyu Ma (@Mezone0)

Додаткова подяка

Accessibility

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Jacob Prezant (prezant.us)

AirPort

Дякуємо за допомогу Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari та Omid Rezaii

App Protection

Дякуємо за допомогу користувачу Andr.Ess.

Bluetooth

Дякуємо за допомогу Hamid Mahmoud

Captive Network

Дякуємо за допомогу Kun Peeks (@SwayZGl1tZyyy).

CipherML

Дякуємо за допомогу Nils Hanff (@nils1729@chaos.social) з Інституту ім. Хассо Платтнера

CloudAttestation

Дякуємо за допомогу Suresh Sundaram і Willard Jansen.

CoreUI

Дякуємо за допомогу Peter Malone.

Find My

Дякуємо за допомогу користувачу Salemdomain.

GPU Drivers

Дякуємо за допомогу Jian Lee (@speedyfriend433).

ICU

Дякуємо за допомогу Jian Lee (@speedyfriend433).

Kernel

Дякуємо за допомогу DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville з Fuzzinglabs, Patrick Ventuzelo з Fuzzinglabs, Robert Tran і Suresh Sundaram.

libarchive

Дякуємо за допомогу Andreas Jaegersberger і Ro Achterberg з Nosebeard Labs, Arni Hardarson.

libc

Дякуємо за допомогу Vitaly Simonovich.

Libnotify

Дякуємо за допомогу Ilias Morad (@A2nkF_).

LLVM

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

mDNSResponder

Дякуємо за допомогу William Mather.

Messages

Дякуємо за допомогу користувачу JZ.

MobileInstallation

Дякуємо за допомогу Gongyu Ma (@Mezone0).

Music

Дякуємо за допомогу Mohammad Kaif (@_mkahmad | kaif0x01).

NetworkExtension

Дякуємо за допомогу Jianfeng Chen із відділу yq12260 компанії Intretech.

Notes

Дякуємо за допомогу користувачам Dawuge із Shuffle Team і Університету Хунань.

Notifications

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) з Технологічного коледжу Лакшмі Нараян у Бхопалі, Індія.

ppp

Дякуємо за допомогу Dave G.

Quick Look

Дякуємо за допомогу Wojciech Regula із SecuRing (wojciechregula.blog) і анонімному досліднику.

Safari

Дякуємо за допомогу @RenwaX23, Bikesh Parajuli, Farras Givari, Syarif Muhammad Sajjad, Yair.

Safari Private Browsing

Дякуємо за допомогу Jaime Gallego Matud.

Shortcuts

Дякуємо за допомогу Waleed Barakat (@WilDN00B) і Paul Montgomery (@nullevent).

Siri

Дякуємо за допомогу Anand Mallaya, Tech consultant, Anand Mallaya and Co., Harsh Kirdolia, Hrishikesh Parmar (приватний підприємець).

Spotlight

Дякуємо за допомогу Bilge Kaan Mızrak, Claude & Friends (дослідницький центр з аналізу ризиків), Zack Tickman.

Status Bar

Дякуємо за допомогу Sahel Alemi.

Telephony

Дякуємо за допомогу Xue Zhang і Yi Chen.

Time Zone

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія).

UIKit

Дякуємо за допомогу користувачам AEC, Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Ben Gallagher, Bishal Kafle (@whoisbishal.k), Carlos Luna (Міністерство військово-морських сил США), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12, incredincomp.

Wallet

Дякуємо за допомогу користувачу Zhongcheng Li з відділу IES Red компанії ByteDance.

Web Extensions

Дякуємо за допомогу Carlos Jeurissen і Rob Wu (robwu.nl).

WebKit

Дякуємо за допомогу Vamshi Paili, greenbynox і анонімному досліднику.

WebKit Process Model

Дякуємо за допомогу Joseph Semaan.

Wi-Fi

Дякуємо за допомогу Kun Peeks (@SwayZGl1tZyyy) і анонімному досліднику.

Wi-Fi Connectivity

Дякуємо за допомогу Alex Radocea із Supernetworks, Inc.

Widgets

Дякуємо за допомогу Marcel Voß, Mitul Pranjay і Serok Çeli.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: березня 27, 2026