Проблеми системи безпеки, які усунено в оновленні Safari 26.4

У цьому документі описано проблеми системи безпеки, які усунено в оновленні Safari 26.4

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

Safari 26.4

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2026-20665: webb

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: обробка шкідливого вебконтенту може порушувати політику того самого походження.

Опис: проблему перехресного походження з Navigation API усунено завдяки вдосконаленню перевірки вводу.

CVE-2026-20643: Thomas Espach

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: відвідання вебсайту, розробленого зловмисниками, може призводити до атаки з використанням міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-28871: @hamayanhamayan

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-20664: Yeonghyeon Choi, Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky & Switch3301, Yevhen Pervushyn

CVE-2026-28857: Minse Kim, Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea, Nathaniel Oh (@calysteon)

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: зловмисний вебсайт може отримати доступ до обробників повідомлень сценаріїв, призначених для інших джерел.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

CVE-2026-28861: Hongze Wu та Shuaike Dong з Ant Group Infrastructure Security Team, а також webb

WebKit

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: шкідливий вебсайт може обробляти обмежений вебконтент поза межами ізольованого середовища.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-28859: greenbynox, Arni Hardarson і анонімний дослідник

WebKit Sandboxing

Цільові продукти: macOS Sonoma та macOS Sequoia

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-20691: Gongyu Ma (@Mezone0)

Додаткова подяка

Safari

Дякуємо за допомогу @RenwaX23, Bikesh Parajuli, Farras Givari, Syarif Muhammad Sajjad, Yair.

Web Extensions

Дякуємо за допомогу користувачам Carlos Jeurissen і Rob Wu (robwu.nl).

WebKit

Дякуємо за допомогу користувачу Vamshi Paili.

WebKit Process Model

Дякуємо за допомогу користувачу Joseph Semaan.