Проблеми системи безпеки, які усунено в оновленнях iOS 18.7.9 та iPadOS 18.7.9

У цьому документі описано проблеми системи безпеки, які усунено в оновленнях iOS 18.7.9 та iPadOS 18.7.9.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за ідентифікаторами CVE, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 18.7.9 та iPadOS 18.7.9

Accounts

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28877: Rosyna Keller із Totally Not Malicious Software

APFS

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28959: Dave G.

App Intents

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: шкідлива програма може виходити за межі ізольованого середовища.

Опис: проблему з логікою вирішено завдяки поліпшенню обмежень.

CVE-2026-28995: Vamshi Paili, Tony Gorez (@tonygo_) у співпраці з Reverse Society

Audio

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка аудіопотоку в шкідливому медіафайлі може призводити до переривання процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-39869: David Ige з Beryllium Security

Calendar

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему виснаження ресурсів вирішено завдяки поліпшенню перевірки вводу.

CVE-2026-28872: користувач Alvin Aries Tapia

Calling Framework

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему відмови в обслуговуванні вирішено шляхом поліпшення перевірки вводу.

CVE-2026-28894: анонімний дослідник

CoreServices

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28936: Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs

FileProvider

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з виникненням умови змагання вирішено завдяки додатковій перевірці.

CVE-2026-43659: Alex Radocea

GeoServices

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: витік інформації було усунено за допомогою додаткової перевірки.

CVE-2026-28870: XiguaSec

ImageIO

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28977: Suresh Sundaram

IOHIDFamily

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може спричиняти несподіване завершення роботи програми.

Опис: уразливість, пов’язану з пошкодженням пам’яті, вирішено шляхом поліпшення блокування.

CVE-2026-28992: Johnny Franks (@0xjohnny)

IOHIDFamily

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисна програма може визначати схему розподілу пам’яті в ядрі.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28943: група аналізу загроз Google

IOKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28969: Mihalis Haatainen, Ari Hawking, Ashish Kunwar

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-43654: Vaagn Vardanian, Nathaniel Oh (@calysteon)

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисний образ диска може обходити перевірки Gatekeeper.

Опис: проблему обходу карантину файлів вирішено завдяки додатковим перевіркам.

CVE-2026-28954: Yiğit Can YILMAZ (@yilmazcanyigit)

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: локальний користувач може спричиняти несподіване завершення роботи системи або зчитувати пам’ять ядра.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28897: Robert Tran, popku1337, Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Aswin kumar Gokulakannan

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28952: Calif.io в співпраці з Claude і Anthropic Research

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може отримувати права кореневого користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-28951: Csaba Fitzl (@theevilbit) з Iru

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28972: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Ryan Hileman (з використанням Xint Code; xint.io)

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з виникненням умови змагання вирішено завдяки додатковій перевірці.

CVE-2026-28986: Tristan Madani (@TristanInSec) з Talence Security, Ryan Hileman (з використанням Xint Code; xint.io), Chris Betz

Kernel

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28987: Dhiyanesh Selvaraj (@redroot97)

LaunchServices

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню перевірок.

CVE-2026-28983: Ruslan Dautov

libxpc

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28882: Ilya Andr (andrd3v) з RTU MIREA, Ilias Morad (A2nkF) з Voynich Group, Duy Trần (@khanhduytran0) і користувач @hugeBlack

Mail Drafts

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: під час відповіді на електронний лист могли відображатися віддалені зображення в Пошті в режимі блокування.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-28929: Yiğit Can YILMAZ (@yilmazcanyigit)

mDNSResponder

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник у локальній мережі може спричинити відмову в обслуговуванні.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-43653: Atul R V

mDNSResponder

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може віддалено спричиняти несподіване завершення роботи системи або пошкодження пам’яті ядра.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-43668: Ricardo Prado, Anton Pakhunov

mDNSResponder

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник у локальній мережі може спричинити відмову в обслуговуванні.

Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-43666: Ian van der Wurff (ian.nl)

Model I/O

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого зображення може призводити до пошкодження пам’яті процесів.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-28940: Michael DePlante (@izobashi), що співпрацює з компанією TrendAI у межах ініціативи Zero Day Initiative

Model I/O

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого файлу може викликати відмову в обслуговуванні або розкрити вміст пам’яті.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-28941: Michael DePlante (@izobashi), що співпрацює з компанією TrendAI у межах ініціативи Zero Day Initiative

Multi-Touch

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-65367: Asaf Cohen

Networking

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може відстежувати користувачів через IP-адреси.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2026-28906: Ilya Sc. Jowell A.

Privacy

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може обходити реєстрацію даних для Звіту про приватність програм.

Опис: проблему вирішено завдяки додатковим перевіркам прав.

CVE-2026-28873: користувач Guy Dor

Quick Look

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: аналіз шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-43656: Peter Malone

SceneKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник може віддалено спричинити несподіване завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28846: Peter Malone

Shortcuts

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки додаванню додаткового запиту згоди користувача.

CVE-2026-28993: Doron Assness

Siri

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може підвищувати рівень привілеїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

Status Bar

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може робити знімки екрана користувача.

Опис: проблему з доступом програми до метаданих камери вирішено за допомогою покращення логіки.

CVE-2026-28957: Adriatik Raci

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28907: Cantina

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему з перевіркою вирішено завдяки поліпшенню логіки.

CVE-2026-43660: Cantina

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-28847: Idan Masas, DARKNAVY (@DarkNavyOrg), анонімний дослідник, що співпрацює з компанією TrendAI у межах ініціативи Zero Day Initiative, Daniel Rhea

CVE-2026-28904: Luka Rački

CVE-2026-28903: Mateusz Krzywicki (iVerify.io)

CVE-2026-28955: користувач wac і Kookhwan Lee, що співпрацює з компанією TrendAI у межах ініціативи Zero Day Initiative

CVE-2026-28953: Maher Azzouzi

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого вебконтенту може призводити до розкриття конфіденційних даних користувача.

Опис: цю проблему вирішено завдяки вдосконаленню обмежень доступу.

CVE-2026-28962: Vitaly Simonovich, Vaagn Vardanian, Luke Francis, kwak kiyong / kakaogames, greenbynox, Adel Bouachraoui

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-28917: Vitaly Simonovich

WebKit

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: обробка шкідливого вебконтенту може призводити до обходу політики безпеки вмісту.

Опис: проблему обходу політики безпеки вмісту вирішено завдяки вдосконаленому застосуванню в контекстах AudioWorklet.

CVE-2026-43670: lebr0nli з лабораторії безпеки й систем при Національному університеті Ян Мін Цзяотун

Wi-Fi

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-28819: Wang Yu

Wi-Fi

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: зловмисник із привілейованим положенням у мережі може спричинити відмову в обслуговуванні за допомогою неправильно сформованих пакетів Wi-Fi.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28994: Alex Radocea

zlib

Цільові продукти: iPhone XS, iPhone XS Max, iPhone XR, iPad 7-го покоління

Вплив: відвідування шкідливого вебсайту може призвести до витоку конфіденційних даних.

Опис: витік інформації було усунено за допомогою додаткової перевірки.

CVE-2026-28920: Brendon Tiszka з Google Project Zero

Додаткова подяка

Kernel

Дякуємо за допомогу Ryan Hileman і команді розробників Xint Code (xint.io).

Location

Дякуємо за допомогу Kun Peeks (@SwayZGl1tZyyy).

Mail

Дякуємо за допомогу користувачу Himanshu Bharti (@Xpl0itme) з Khatima.

Managed Configuration

Дякуємо за допомогу користувачу kado.

Messages

Дякуємо за допомогу Bishal Kafle.

Siri

Дякуємо за допомогу користувачам DARKNAVY (@DarkNavyOrg), HvxyZLF, Ilya Andr (andrd3v), Kun Peeks (@SwayZGl1tZyyy).

WebKit

Дякуємо за допомогу користувачу Yair Hoffman.