Проблеми системи безпеки, які усунено в оновленні macOS Tahoe 26.4

У цьому документі описано проблеми системи безпеки, які усунено в оновленні macOS Tahoe 26.4.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за ідентифікаторами CVE, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

macOS Tahoe 26.4

802.1X

Цільовий продукт: macOS Tahoe

Вплив: зловмисник із привілейованим положенням у мережі може перехоплювати мережевий трафік.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-28865: Héloïse Gollier і Mathy Vanhoef (Католицький університет Левена)

Accounts

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28877: Rosyna Keller із Totally Not Malicious Software

Admin Framework

Цільовий продукт: macOS Tahoe

Вплив: програма з правами кореневого користувача може видалити захищені системні файли.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-28823: Ryan Dowd (@_rdowd)

apache

Цільовий продукт: macOS Tahoe

Вплив: виявлено кілька проблем в Apache.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-55753

CVE-2025-58098

CVE-2025-59775

CVE-2025-65082

CVE-2025-66200

AppleMobileFileIntegrity

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28824: Mickey Jin (@patch1t)

CVE-2026-20696: анонімний дослідник

AppleMobileFileIntegrity

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему зі зниженням рівня, що впливає на комп’ютери Mac із процесорами Intel, вирішено за допомогою додаткових обмежень підписування коду.

CVE-2026-20699: Mickey Jin (@patch1t)

AppleScript

Цільовий продукт: macOS Tahoe

Вплив: програма може обходити перевірки Gatekeeper.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-20684: Koh M. Nakagawa (@tsunek0h) із FFRI Security, Inc.

Archive Utility

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.

CVE-2026-20633: Mickey Jin (@patch1t)

Archive Utility

Цільовий продукт: macOS Tahoe

Вплив: шкідлива програма може отримувати доступ до довільних файлів.

Опис: цю проблему вирішено завдяки вдосконаленню перевірки дозволів.

CVE-2026-28910: Talal Haj Bakry й Tommy Mysk із Mysk Inc. (@mysk_co), Zhongquan Li (@Guluisacat)

Audio

Цільовий продукт: macOS Tahoe

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28879: Justin Cohen із Google

Audio

Цільовий продукт: macOS Tahoe

Вплив: зловмисник може спричиняти несподіване завершення роботи програми.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-28822: Jex Amro

Calling Framework

Цільовий продукт: macOS Tahoe

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему відмови в обслуговуванні вирішено шляхом поліпшення перевірки вводу.

CVE-2026-28894: анонімний дослідник

Clipboard

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню перевірки символьних посилань.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Цільовий продукт: macOS Tahoe

Вплив: обробка аудіопотоку в шкідливому медіафайлі може призводити до переривання процесу.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2026-20690: користувач Hossein Lotfi (@hosselot), що співпрацює з компанією TrendAI у межах ініціативи «Zero Day Initiative»

CoreServices

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати вищий рівень привілеїв.

Опис: під час підтвердження прав виникала проблема перевірки. Цю проблему вирішено завдяки вдосконаленій перевірці процесу підтвердження прав.

CVE-2026-28821: YingQi Shi (@Mas0nShi) з лабораторії WeBin компанії DBAppSecurity

CoreServices

Цільовий продукт: macOS Tahoe

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з дозволами вирішено завдяки застосуванню додаткових обмежень ізольованого програмного середовища.

CVE-2026-28838: анонімний дослідник

CoreUI

Цільовий продукт: macOS Tahoe

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-20679: Mustafa Calap (@ordinal0, dbg.re)

CoreUtils

Цільовий продукт: macOS Tahoe

Вплив: користувач із привілейованим положенням у мережі може спричинити відмову в обслуговуванні.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-28886: Etienne Charron (Renault) і Victoria Martini (Renault)

Crash Reporter

Цільовий продукт: macOS Tahoe

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему приватності вирішено завдяки вилученню конфіденційних даних.

CVE-2026-28878: Zhongcheng Li з відділу IES Red

CUPS

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати права кореневого користувача.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-28888: Andreas Jaegersberger та Ro Achterberg із Nosebeard Labs

CUPS

Цільовий продукт: macOS Tahoe

Вплив: документ може бути записано в тимчасовий файл під час попереднього перегляду друку.

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки тимчасових файлів.

CVE-2026-28893: Asaf Cohen

curl

Цільовий продукт: macOS Tahoe

Вплив: у curl виникала проблема, що могла призводити до випадкового надсилання конфіденційної інформації через неправильне з’єднання.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-14524

DeviceLink

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-28876: Andreas Jaegersberger та Ro Achterberg із Nosebeard Labs

Diagnostics

Цільовий продукт: macOS Tahoe

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему з дозволами вирішено завдяки видаленню вразливого коду.

CVE-2026-28892: 风沐云烟 (@binary_fmyy) і Minghao Lin (@Y1nKoc)

Disk Images

Цільовий продукт: macOS Tahoe

Вплив: програма може підвищувати рівень привілеїв.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-28926: Jonathan Bar Or (@yo_yo_yo_jbo)

File System

Цільовий продукт: macOS Tahoe

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з читанням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28832: DARKNAVY (@DarkNavyOrg)

GeoServices

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: витік інформації було усунено за допомогою додаткової перевірки.

CVE-2026-28870: XiguaSec

GPU Drivers

Цільовий продукт: macOS Tahoe

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-28834: анонімний дослідник

iCloud

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему приватності вирішено завдяки перенесенню конфіденційних даних.

CVE-2026-28881: Ye Zhang із Baidu Security, Ryan Dowd (@_rdowd) і Csaba Fitzl (@theevilbit) з Iru

iCloud

Цільовий продукт: macOS Tahoe

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28880: Zhongcheng Li з відділу IES Red

CVE-2026-28833: Zhongcheng Li з відділу IES Red

ImageIO

Цільовий продукт: macOS Tahoe

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-64505

IOGraphics

Цільовий продукт: macOS Tahoe

Вплив: проблема переповнення буфера може призводити до пошкодження пам’яті та несподіваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28842: Joseph Ravichandran (@0xjprx) із MIT CSAIL

IOGraphics

Цільовий продукт: macOS Tahoe

Вплив: проблема переповнення буфера може призводити до пошкодження пам’яті та несподіваного завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки розміру.

CVE-2026-28841: Joseph Ravichandran (@0xjprx) із MIT CSAIL

Kernel

Цільовий продукт: macOS Tahoe

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28868: користувачі Gor Aleksanyan, Dhiyanesh Selvaraj (@redroot97) і 이동하 (Lee Dong Ha з BoB 0xB6)

Kernel

Цільовий продукт: macOS Tahoe

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Цільовий продукт: macOS Tahoe

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-20698: DARKNAVY (@DarkNavyOrg)

Kernel

Цільовий продукт: macOS Tahoe

Вплив: зловмисна програма може визначати схему розподілу пам’яті в ядрі.

Опис: проблему з розкриттям інформації усунено завдяки поліпшенню керування пам’яттю.

CVE-2026-20695: Gor Aleksanyan, 이동하 (Lee Dong Ha of BoB 0xB6), що співпрацює з компанією TrendAI в межах ініціативи Zero Day Initiative

Kernel

Цільовий продукт: macOS Tahoe

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20687: Johnny Franks (@0xjohnny)

LaunchServices

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до захищених даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28845: Yuebin Sun (@yuebinsun2020), анонімний дослідник, Nathaniel Oh (@calysteon), Kirin (@Pwnrin), Wojciech Regula із SecuRing (wojciechregula.blog), Joshua Jewett (@JoshJewett33), анонімний дослідник

libxpc

Цільовий продукт: macOS Tahoe

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28882: Ilya Andr (andrd3v) з RTU MIREA, Ilias Morad (A2nkF) з Voynich Group, Duy Trần (@khanhduytran0) і користувач @hugeBlack

libxpc

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до захищених даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-20607: анонімний дослідник

Mail

Цільовий продукт: macOS Tahoe

Вплив: параметри «Приховувати IP‑адресу» та «Блокувати весь віддалений вміст» можуть не застосовуватися до всього вмісту листів.

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки користувацьких налаштувань.

CVE-2026-20692: користувачі Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs, Himanshu Bharti (@Xpl0itme) із Khatima

MigrationKit

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.

CVE-2026-20694: Rodolphe Brunetti (@eisw0lf) із Lupus Nova

Music

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-20632: Rodolphe Brunetti (@eisw0lf) з Lupus Nova

NetAuth

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28839: Mickey Jin (@patch1t)

NetAuth

Цільовий продукт: macOS Tahoe

Вплив: програма може підключатися до мережевого ресурсу без згоди користувача.

Опис: проблему з доступом вирішено завдяки застосуванню додаткових обмежень ізольованого програмного середовища.

CVE-2026-20701: Matej Moravec (@MacejkoMoravec)

NetAuth

Цільовий продукт: macOS Tahoe

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з виникненням умови змагання вирішено завдяки додатковій перевірці.

CVE-2026-28891: анонімний дослідник

NetFSFramework

Цільовий продукт: macOS Tahoe

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-28827: Csaba Fitzl (@theevilbit) з Iru й анонімний дослідник

Notes

Цільовий продукт: macOS Tahoe

Вплив: програма може видаляти файли, на які в неї немає дозволу.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-28816: користувач Dawuge із Shuffle Team і Хунанського університету

NSColorPanel

Цільовий продукт: macOS Tahoe

Вплив: шкідлива програма може виходити за межі ізольованого середовища.

Опис: проблему з логікою вирішено завдяки поліпшенню обмежень.

CVE-2026-28826: анонімний дослідник

PackageKit

Цільовий продукт: macOS Tahoe

Вплив: користувач може підвищувати рівень привілеїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-20631: Gergely Kalman (@gergely_kalman)

PackageKit

Цільовий продукт: macOS Tahoe

Вплив: зловмисник з правами кореневого користувача може видалити захищені системні файли.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2026-20693: Mickey Jin (@patch1t)

PackageKit

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати права кореневого користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28840: Andrei Dodu, Morris Richman (@morrisinlife)

Phone

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2026-28862: Kun Peeks (@SwayZGl1tZyyy)

ppp

Цільовий продукт: macOS Tahoe

Вплив: зловмисник може спричиняти несподіване завершення роботи системи або зчитувати пам’ять ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-28896: Dave G.

Printing

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28831: анонімний дослідник

Printing

Цільовий продукт: macOS Tahoe

Вплив: певний процес в ізольованому програмному середовищі може обходити обмеження цього середовища.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-28817: Gyujeong Jin (@G1uN4sh) із Team.0xb6

Printing

Цільовий продукт: macOS Tahoe

Вплив: програма може виходити за межі ізольованого середовища.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-20688: wdszzml і Atuin Automated Vulnerability Discovery Engine

Security

Цільовий продукт: macOS Tahoe

Вплив: локальний зловмисник може отримати доступ до елементів В’язки користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірки дозволів.

CVE-2026-28864: Alex Radocea

Security

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з виникненням умови змагання вирішено завдяки додатковій перевірці.

CVE-2026-28830: анонімний дослідник

Security

Цільовий продукт: macOS Tahoe

Вплив: локальний зловмисник може змінювати стан функції «В’язка».

Опис: проблему вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28860: користувач Alex Radocea

SMB

Цільовий продукт: macOS Tahoe

Вплив: монтування шкідливого мережевого ресурсу SMB може призводити до завершення роботи системи.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28835: Christian Kohlschütter

SMB

Цільовий продукт: macOS Tahoe

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28825: Sreejith Krishnan R і Dave G.

Spotlight

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28818: @pixiepointsec

Spotlight

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-20697: @pixiepointsec

StorageKit

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28820: Mickey Jin (@patch1t)

System Settings

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-28837: Luke Roberts (@rookuu)

SystemMigration

Цільовий продукт: macOS Tahoe

Вплив: зловмисник може отримати доступ до захищених частин файлової системи.

Опис: проблему з доступом до файлів вирішено завдяки поліпшенню перевірки вводу.

CVE-2026-28844: Pedro Tôrres (@t0rr3sp3dr0)

TCC

Цільовий продукт: macOS Tahoe

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з дозволами вирішено завдяки видаленню вразливого коду.

CVE-2026-28828: Mickey Jin (@patch1t)

UIFoundation

Цільовий продукт: macOS Tahoe

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: переповнення стека усунено завдяки поліпшенню перевірки вводу.

CVE-2026-28852: Caspian Tarafdar

Vision

Цільовий продукт: macOS Tahoe

Вплив: аналіз шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки поліпшенню обробки звернень до пам’яті.

CVE-2026-20657: Andrew Becker

WebDAV

Цільовий продукт: macOS Tahoe

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28829: Sreejith Krishnan R

WebKit

Цільовий продукт: macOS Tahoe

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2026-20665: webb

WebKit

Цільовий продукт: macOS Tahoe

Вплив: обробка шкідливого вебконтенту може порушувати політику того самого походження.

Опис: проблему перехресного походження з Navigation API усунено завдяки вдосконаленню перевірки вводу.

CVE-2026-20643: Thomas Espach

WebKit

Цільовий продукт: macOS Tahoe

Вплив: відвідання вебсайту, розробленого зловмисниками, може призводити до атаки з використанням міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-28871: @hamayanhamayan

WebKit

Цільовий продукт: macOS Tahoe

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-20664: користувачі Yeonghyeon Choi, Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky і Switch3301, Yevhen Pervushyn

CVE-2026-28857: користувачі Minse Kim, Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea й Nathaniel Oh (@calysteon)

WebKit

Цільовий продукт: macOS Tahoe

Вплив: зловмисний вебсайт може отримати доступ до обробників повідомлень сценаріїв, призначених для інших джерел.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

CVE-2026-28861: користувачі Hongze Wu й Shuaike Dong з Ant Group Infrastructure Security Team, а також webb

WebKit

Цільовий продукт: macOS Tahoe

Вплив: шкідливий вебсайт може обробляти обмежений вебконтент поза межами ізольованого середовища.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-28859: користувачі greenbynox, Arni Hardarson і анонімний дослідник

WebKit Sandboxing

Цільовий продукт: macOS Tahoe

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-20691: Gongyu Ma (@Mezone0)

Додаткова подяка

Accessibility

Дякуємо за допомогу користувачу Jacob Prezant (prezant.us).

Admin Framework

Дякуємо за допомогу користувачу Sota Toyokura.

AirPort

Дякуємо за допомогу Frantisek Piekut, Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari й Omid Rezaii.

Bluetooth

Дякуємо за допомогу користувачу Hamid Mahmoud.

Captive Network

Дякуємо за допомогу Csaba Fitzl (@theevilbit) з Iru та Kun Peeks (@SwayZGl1tZyyy).

CipherML

Дякуємо за допомогу користувачу Nils Hanff (@nils1729@chaos.social) з Інституту ім. Хассо Платтнера.

CloudAttestation

Дякуємо за допомогу користувачам GregoAI, Sri Sai Sujay Chandra Koyyalamudi, Suresh Sundaram, Willard Jansen і ant4g0nist.

Core Bluetooth

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

CoreServices

Дякуємо за допомогу користувачам Fein, Iccccc і Ziiiro.

CoreUI

Дякуємо за допомогу користувачу Peter Malone.

dyld

Дякуємо за допомогу користувачу Surya Narayan Kushwaha.

iCloud

Дякуємо за допомогу користувачам Yinyi Wu (@_3ndy1) і moyu з Dawn Security Lab (JD.com, Inc).

Find My

Дякуємо за допомогу користувачу Salemdomain.

GPU Drivers

Дякуємо за допомогу користувачу Jian Lee (@speedyfriend433).

ICU

Дякуємо за допомогу користувачу Jian Lee (@speedyfriend433).

ImageKit

Дякуємо за допомогу Lyutoon і YenKoc, Mingxuan Yang (@PPPF00L), Minghao Lin (@Y1nKoc) і 风 (@binary_fmyy) з 抽象刷怪笼.

Kerberos v5 PAM module

Дякуємо за допомогу користувачу Jian Lee (@speedyfriend433).

Kernel

Дякуємо за допомогу Adam Doupé з ASU SEFCOM, DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville з Fuzzinglabs, Patrick Ventuzelo з Fuzzinglabs, Robert Tran, Suresh Sundaram, Tristan Madani (@TristanInSec) з Talence Security та Xinru Chi з Pangu Lab.

libarchive

Дякуємо за допомогу користувачам Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs і Arni Hardarson.

libc

Дякуємо за допомогу користувачу Vitaly Simonovich (vitalysim.com).

Libnotify

Дякуємо за допомогу користувачу Ilias Morad (@A2nkF_).

LLVM

Дякуємо за допомогу користувачу Nathaniel Oh (@calysteon).

mDNSResponder

Дякуємо за допомогу William Mather.

Messages

Дякуємо за допомогу користувачу JZ.

MobileInstallation

Дякуємо за допомогу Gongyu Ma (@Mezone0).

Music

Дякуємо за допомогу користувачу Mohammad Kaif (@_mkahmad | kaif0x01).

Notes

Дякуємо за допомогу користувачу Dawuge із Shuffle Team і Хунаньського університету.

NSOpenPanel

Дякуємо за допомогу користувачу Barath Stalin K.

Quick Look

Дякуємо за допомогу користувачу Wojciech Regula із SecuRing (wojciechregula.blog) й анонімному досліднику.

Safari

Дякуємо за допомогу користувачам @RenwaX23, Farras Givari, Syarif Muhammad Sajjad і Yair.

Sandbox

Дякуємо за допомогу Morris Richman (@morrisinlife), Prashan Samarathunge, 要乐奈.

Shortcuts

Дякуємо за допомогу користувачам Waleed Barakat (@WilDN00B) і Paul Montgomery (@nullevent).

Siri

Дякуємо за допомогу Anand Mallaya, консультанту з технічних питань в Anand Mallaya and Co., DARKNAVY (@DarkNavyOrg), Harsh Kirdolia, Hrishikesh Parmar із Self-Employed, HvxyZLF, Ilya Andr (andrd3v), Kun Peeks (@SwayZGl1tZyyy).

Spotlight

Дякуємо за допомогу користувачам Bilge Kaan Mızrak, Claude & Friends: Risk Analytics Research Group, Zack Tickman.

System Settings

Дякуємо за допомогу Christian Scalese (www.linkedin.com/in/christian-scalese-5794092aa), Karol Mazurek (@karmaz) з AFINE, Raffaele Sabato із SentinelOne.

Time Zone

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія).

UIKit

Дякуємо за допомогу користувачам AEC, Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Alex Thomas, Bishal Kafle (@whoisbishal.k), Carlos Luna (Міністерство військово-морських сил США), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12 та incredincomp.

Wallet

Дякуємо за допомогу користувачу Zhongcheng Li з відділу IES Red компанії ByteDance.

Web Extensions

Дякуємо за допомогу користувачам Carlos Jeurissen і Rob Wu (robwu.nl).

WebKit

Дякуємо за допомогу користувачам Vamshi Paili й Indu Paili.

Wi-Fi

Дякуємо за допомогу користувачу Kun Peeks (@SwayZGl1tZyyy) й анонімному досліднику.

Wi-Fi Connectivity

Дякуємо за допомогу користувачу Alex Radocea із Supernetworks, Inc.

Widgets

Дякуємо за допомогу користувачам Marcel Voß, Mitul Pranjay і Serok Çelik.

zsh

Дякуємо за допомогу користувачу Jian Lee (@speedyfriend433).