.inline-media-container.loading { background: none; } .inline-media-container.loading::after, .inline-media-container.loading-empty::after { display: none; content: none; } .inline-media-container.loading video { display: block !important; }

Проблеми системи безпеки, які усунено в оновленнях iOS 18.7.7 та iPadOS 18.7.7

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за ідентифікаторами CVE, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 18.7.7 та iPadOS 18.7.7

Дата випуску: 24 березня 2026 р.

Примітка. З 1 квітня 2026 року ми розширили доступність iOS 18.7.7 для більшої кількості пристроїв, тож користувачі, у яких увімкнено параметр «Автооновлення», зможуть автоматично отримувати важливі засоби захисту від вебатак під назвою DarkSword. Ці виправлення, пов’язані з уразливістю DarkSword, уперше були випущені у 2025 році.

802.1X

Цільові продукти: iPhone XR, iPhone XS, iPhone XS Max, iPhone 11 (усі моделі), iPhone SE (2-го покоління), iPhone 12 (усі моделі), iPhone 13 (усі моделі), iPhone SE (3-го покоління), iPhone 14 (усі моделі), iPhone 15 (усі моделі), iPhone 16 (усі моделі), iPhone 16e, iPad mini (5-го покоління, A17 Pro), iPad (7-го покоління, A16), iPad Air (3–5-го поколінь), iPad Air 11 дюймів (M2, M3), iPad Air 13 дюймів (M2, M3), iPad Pro 11 дюймів (1-го покоління, M4), iPad Pro 12,9 дюйма (3–6-го поколінь) та iPad Pro 13 дюймів (M4)

Вплив: зловмисник із привілейованим положенням у мережі може перехоплювати мережевий трафік.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-28865: Héloïse Gollier і Mathy Vanhoef (Католицький університет Левена)

AppleKeyStore

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20637: Johnny Franks (zeroxjf), анонімний дослідник

Audio

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28879: Justin Cohen із Google

Clipboard

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню перевірки символьних посилань.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Вплив: обробка аудіопотоку в шкідливому медіафайлі може призводити до переривання процесу.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2026-20690: користувач Hossein Lotfi (@hosselot), що співпрацює з компанією TrendAI у межах ініціативи «Zero Day Initiative»

Запис оновлено 11 травня 2026 р.

CoreUtils

Вплив: користувач із привілейованим положенням у мережі може спричинити відмову в обслуговуванні.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-28886: Etienne Charron (Renault) і Victoria Martini (Renault)

Crash Reporter

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему приватності вирішено завдяки вилученню конфіденційних даних.

CVE-2026-28878: Zhongcheng Li з відділу IES Red

curl

Вплив: у curl виникала проблема, що могла призводити до випадкового надсилання конфіденційної інформації через неправильне з’єднання.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-14524

DeviceLink

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-28876: Andreas Jaegersberger та Ro Achterberg із Nosebeard Labs

Focus

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28880: Zhongcheng Li з відділу IES Red

ImageIO

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

CVE-2025-64505

iTunes Store

Вплив: особа з фізичним доступом до пристрою iOS може обійти Замок активації.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2025-43534: iG0x72 і JJ із XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28868: користувачі Gor Aleksanyan, Dhiyanesh Selvaraj (@redroot97) і 이동하 (Lee Dong Ha з BoB 0xB6)

Запис оновлено 11 травня 2026 р.

Kernel

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20687: Johnny Franks (@0xjohnny)

Запис оновлено 20 серпня 2026 р.

mDNSResponder

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Вплив: локальний зловмисник може отримати доступ до елементів В’язки користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірки дозволів.

CVE-2026-28864: Alex Radocea

Security

Вплив: локальний зловмисник може змінювати стан функції «В’язка».

Опис: проблему вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28860: користувач Alex Radocea

Запис додано 11 травня 2026 р.

Telephony

Вплив: зловмисник із привілейованим положенням у мережі може спричинити відмову в обслуговуванні.

Опис: проблему відмови в обслуговуванні вирішено шляхом поліпшення перевірки вводу.

CVE-2026-28967: користувачі Hazem Issa та Yongdae Kim із @ SysSec, KAIST

Запис додано 11 травня 2026 р.

UIFoundation

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: переповнення стека усунено завдяки поліпшенню перевірки вводу.

CVE-2026-28852: Caspian Tarafdar

Vision

Вплив: аналіз шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки поліпшенню обробки звернень до пам’яті.

CVE-2026-20657: Andrew Becker

Запис оновлено 11 травня 2026 р.

WebKit

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Вплив: обробка шкідливого вебконтенту може порушувати політику того самого походження.

Опис: проблему перехресного походження з Navigation API усунено завдяки вдосконаленню перевірки вводу.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Вплив: зловмисник міг дистанційно переглядати запити DNS, отримані в результаті витоку, з увімкненою функцією «Приват-реле».

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 295943

CVE-2025-43376: Mike Cardwell із grepular.com, Bob Lord

WebKit

Вплив: зловмисний вебсайт може отримати доступ до обробників повідомлень сценаріїв, призначених для інших джерел.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 307014

CVE-2026-28861: користувачі Hongze Wu й Shuaike Dong з Ant Group Infrastructure Security Team, а також webb

Запис оновлено 11 травня 2026 р.

WebKit

Вплив: відвідання вебсайту, розробленого зловмисниками, може призводити до атаки з використанням міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

Додаткова подяка

Safari

Дякуємо за допомогу користувачу @RenwaX23.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: серпня 25, 2026