.inline-media-container.loading { background: none; } .inline-media-container.loading::after, .inline-media-container.loading-empty::after { display: none; content: none; } .inline-media-container.loading video { display: block !important; }

Проблеми системи безпеки, які усунено в оновленнях iOS 27 та iPadOS 27

У цьому документі описано проблеми системи безпеки, які усунено в оновленнях iOS 27 та iPadOS 27.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 27 та iPadOS 27

Дата випуску: 14 вересня 2026 р.

Accelerate Framework

Цільові продукти: iPhone 11 і новіші моделі, iPad Pro 12,9 дюйма (4-го покоління) і новіші моделі, iPad Pro 11 дюймів (2-го покоління) і новіші моделі, iPad Air (4-го покоління) і новіші моделі, iPad (9-го покоління) і новіші моделі, а також iPad mini (6-го покоління) і новіші моделі

Вплив: обробка шкідливого зображення може призводити до неочікуваного завершення процесу.

Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-86882: Peter Malone

Accessibility

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: цю проблему вирішено завдяки вдосконаленню захисту даних.

CVE-2026-43664: Stuart Wallace, Ilya Andr (andrd3v), Rosyna Keller із Totally Not Malicious Software, CJ Vana, David Strnadel, Daniel Febrero, Asaf Cohen, Gongyu Ma (@Mezone0), Jian Lee (@speedyfriend433)

Accessibility

Вплив: програма може визначати, яке інше ПЗ встановив користувач.

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки користувацьких налаштувань.

CVE-2026-64761: Stuart Wallace, Sindre Sorhus

Accounts

Вплив: шкідлива програма може обходити налаштування приватності.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-65404: Arni Hardarson (Neonix Security), Vinay Kumar Rasala (Xplo8E) із Appknox, Stuart Wallace, 이재영

APFS

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

CVE-2026-84523: Cem Onat Karagun, анонімний дослідник

App Store

Вплив: локальна програма може зчитувати постійний ідентифікатор облікового запису.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-86888: Zhongcheng Li (CK01)

Apple Account

Вплив: програма може використовувати процедуру автентифікації «Вхід з Apple» для доступу до облікового запису Apple користувача.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-20683: Dem0ns (@天府简易信工作室), Abdelhak Kherroubi, Jasminder Pal Singh, Lehan Dilusha Jayasingha (Шрі-Ланка)

Apple Neural Engine

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-65408: tamdao

AppleAVD

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-65407: Franco Belman із Blackwing Intelligence

AppleDouble

Вплив: монтування образу диска зі шкідливими файлами може призводити до неочікуваного завершення роботи системи.

CVE-2026-84519: Richard Zana

AppleKeyStore

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-84593: Nik Tsytsarkin — Meta Red Team X, Alexandre Borges

Authentication Services

Вплив: програма може видаляти облікові дані, збережені у В’язці.

Опис: проблему вирішено через видалення вразливого коду.

CVE-2026-86905: Ilya Andr (andrd3v)

AuthKit

Вплив: локальна програма може зчитувати постійний ідентифікатор облікового запису.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-84583: Zhongcheng Li з IES Red Team

AVEVideoEncoder

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-65410: Calif.io в співпраці з Claude та Anthropic Research

AVEVideoEncoder

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-84616: Peter Malone

AVEVideoEncoder

Вплив: програма в пісочниці може виконувати довільний код із привілеями ядра.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-84607: Ruslan Dautov

BackgroundAssets

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з логікою вирішено завдяки поліпшенню перевірки.

CVE-2026-65406: Ye Zhang (@VAR10CK) з Baidu Security

Baseband

Цільові продукти: iPhone 11 і новіші моделі

Вплив: зловмисник у радіусі дії радіосигналу може спричиняти несподіване завершення роботи системи.

Опис: проблему перевірки вводу усунено завдяки поліпшенню перевірки вводу.

CVE-2026-86885: Tuan D. Hoang, Hazem Issa та Yongdae Kim із KAIST SysSec Lab

Baseband

Цільові продукти: iPhone 11 і новіші моделі

Вплив: зловмисник може віддалено спричинити відмову в обслуговуванні.

Опис: проблему відмови в обслуговуванні вирішено шляхом поліпшення перевірки вводу.

CVE-2026-86879: Hazem Issa та Yongdae Kim із SysSec, KAIST

Bluetooth

Вплив: зловмисник може віддалено спричинити несподіване завершення роботи програми чи виконання довільного коду.

CVE-2026-65414

Bluetooth

Вплив: програма може отримати несанкціонований доступ до Bluetooth.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84560: анонімний дослідник

Camera

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-86878: Sindre Sorhus, Ilya Andr (andrd3v) з Positive Technologies, Asaf Cohen

CloudKit

Вплив: локальна програма може зчитувати постійний ідентифікатор облікового запису.

Опис: проблему з розкриттям інформації усунено завдяки вдосконаленню керування станами.

CVE-2026-86895: Stanislav Jelezoglo

CloudKit

Вплив: програма може зчитувати назву пристрою.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-86893: Heiner Gerdes

copyfile

Вплив: архів може обійти перевірку Gatekeeper.

Опис: проблему обходу карантину файлів вирішено завдяки додатковим перевіркам.

CVE-2026-65399: Rishabh Jain (rjcyber) із cyberplanet, Pasquale Scola, анонімний дослідник

CoreMedia

Вплив: обробка шкідливого зображення може призводити до виконання довільного коду.

Опис: проблему з пошкодженням даних у пам’яті усунено завдяки видаленню вразливого коду.

CVE-2026-64752: Nik Tsytsarkin

CoreMedia

Вплив: певний процес в ізольованому програмному середовищі може обходити обмеження цього середовища.

CVE-2026-86876: Chris Bailey — Short Circuit

CoreMedia

Вплив: обробка шкідливого відеофайлу може призводити до неочікуваного завершення роботи програми.

CVE-2026-65344: Siyeong kim

CoreML

Вплив: програма в пісочниці може отримувати доступ до файлів з обмеженим доступом.

Опис: проблему з дозволами вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-84624: AL Najafi, tamdao

CoreMotion

Вплив: програма може отримувати доступ до даних про рух із навушників без дозволу користувача.

Опис: проблему з дозволом вирішено завдяки вдосконаленню перевірки.

CVE-2026-43737: Stuart Wallace

CoreText

Вплив: обробка вебконтенту може призводити до відмови в обслуговуванні.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-65412: Pavan Nallamothu

CoreText

Вплив: обробка шкідливого шрифту може призводити до розкриття пам’яті процесів.

Опис: проблему із читанням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-84596: ret2happy, Meta Product Security

CoreUI

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

CVE-2026-84575: Mustafa Calap (@ordinal0, dbg.re)

CoreUI

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-84489: stratan (@5tratan), Peter Malone

CoreUI

Вплив: обробка шкідливого зображення може призводити до неочікуваного завершення роботи програми.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-84571: stratan (@5tratan), Peter Malone

CoreUI

Вплив: обробка шкідливого каталогу ресурсів може призводити до розкриття пам’яті процесу.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-43738: Peter Malone

CoreUI

Вплив: обробка шкідливого каталогу ресурсів може призводити до неочікуваного завершення процесу.

CVE-2026-84511: Rahul Raj, stratan (@5tratan)

DeviceCheck

Вплив: програма може зчитувати постійні ідентифікатори пристрою.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню контролю доступу.

CVE-2026-84612: N.M.Praveen Nawarathne (@zblockrat), James Gill (@jjtech@infosec.exchange)

Disk Images

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-84552: Tommy DeVoss із Braze Security Team (@thedawgyg), flower xu, Adriatik Raci, PETOWORKS의 Bugeun Choi (@Bugeun), Peter Malone, Daisuke Hatakeyama й Ryohei Ueki (@SYZD Research), Hyunwoo Kim (@v4bel)

exFAT

Вплив: монтування шкідливого тому може призводити до неочікуваного завершення роботи системи.

Опис: проблему з переповненням буфера динамічної пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-84510: Nik Tsytsarkin — Meta Red Team X, Richard Zana

File Bookmark

Вплив: програма може змінювати файл, до якого мала доступ лише для читання.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-43785: Junyeong Lee (jylab.github.io), Merrick Hare, Aditya Kumar, John Nzyuko Uvyu, Narendra Singh (@_3P1C)

file_cmds

Вплив: розпакування шкідливого архіву може дозволити зловмиснику записувати довільні файли.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-84534: Geoffrey Lovelace

Filters

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему з пошкодженням даних у пам’яті вирішено завдяки поліпшенню перевірки вводу.

CVE-2026-43688: Peter Malone

FontParser

Вплив: обробка шкідливого файлу шрифту може призводити до неочікуваного завершення роботи програми.

CVE-2026-84524: анонімний дослідник

FontParser

Вплив: обробка шкідливого шрифту може призводити до розкриття пам’яті процесів.

Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-84597: Nik Tsytsarkin

Foundation

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-65409: Bruce Dang із Calif.io в співпраці з Claude і Anthropic Research

Graphics

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-84492: Tommy DeVoss із Braze Security Team (@thedawgyg), Jiyong Yang

Heimdal

Вплив: зловмисник із привілейованим положенням у мережі може змінювати мережевий трафік.

Опис: криптографічну проблему вирішено завдяки вдосконаленню перевірок цілісності.

CVE-2026-84533: Vishal Patidar, Roman Zabicki

iCloud

Вплив: програма може ідентифікувати користувача після повторної інсталяції.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки ідентифікаторів.

CVE-2026-84606: Ilya Andr (andrd3v)

Image Capture

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-64756: Luke Symons

ImageIO

Вплив: обробка шкідливого зображення може призводити до розкриття пам’яті процесів.

Опис: проблему з неініціалізованою пам’яттю вирішено завдяки вдосконаленню ініціалізації пам’яті.

CVE-2026-84564: Justin O'Leary

ImageIO

Вплив: обробка шкідливого зображення може призводити до пошкодження пам’яті.

CVE-2026-65395: Mateusz Jurczyk із Google Project Zero, Varik Matevosyan

IOKit

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28969: Mihalis Haatainen, Ashish Kunwar, Ari Hawking, 이재영

IOMobileFrameBuffer

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2026-65398: Chris Bailey — Short Circuit, Mustafa Calap (@ordinal0, dbg.re), David Strnadel, Nik Tsytsarkin — Meta Red Team X

IOSurfaceAccelerator

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: витік інформації було усунено за допомогою додаткової перевірки.

CVE-2026-64760: анонімний дослідник, Seiji Sakurai (@HeapSmasher), Franco Belman із Blackwing Intelligence

iWork

Вплив: шкідлива програма може виходити за межі пісочниці.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-65354: Csaba Fitzl (@theevilbit) з Iru

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

CVE-2026-28968: genter0, Svetoslav Stolarov і Aisa Fox, Josh Maine із Calif.io, Dun

Kernel

Вплив: локальний зловмисник може спричиняти неочікуване завершення роботи системи або пошкодження пам’яті ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-84566: Bernhard Jackiewicz

Kernel

Вплив: локальний користувач може спричиняти несподіване завершення роботи системи або зчитувати пам’ять ядра.

Опис: проблему з виникненням умови змагання вирішено завдяки додатковій перевірці.

CVE-2026-65415: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Ryan Hileman (з використанням Xint Code; xint.io)

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему подвійного вивільнення вирішено завдяки поліпшеному керуванню пам’яттю.

CVE-2026-84561: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Bhaswanth Chigurupati

Kernel

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-84630: Tristan Madani (@TristanInSec) з Talence Security

CVE-2026-65360: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

CVE-2026-65358: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з пошкодженням даних у пам’яті вирішено шляхом поліпшення обробки звернень до пам’яті.

CVE-2026-65377: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Ye Zhang (@VAR10CK) з Baidu Security

Kernel

Вплив: програма з правами кореневого користувача може читати неініціалізовану пам’ять ядра.

Опис: проблему з ініціалізацією пам’яті вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-84622: Hiroki Imai (LAC Co., Ltd.)

Kernel

Вплив: зловмисна програма може підвищувати рівень привілеїв до кореневого користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-43689: Andreas Jaegersberger і Ro Achterberg із Nosebeard Labs

Kernel

Вплив: підключення до шкідливого сервера NFS може розкривати дані пам’яті ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-43687: R4mbb із KRsecurity, Peter Malone

Kernel

Вплив: підключення до зловмисного сервера NFS може пошкодити пам’ять ядра.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-43686: Peter Malone

Kernel

Вплив: програма може визначати схему розподілу пам’яті в ядрі.

Опис: проблему з ініціалізацією пам’яті вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2026-65405: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з розкриттям інформації усунено завдяки поліпшенню керування пам’яттю.

CVE-2026-84530: Vladislav Shevchenko (Positive Technologies)

Kernel

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-84521: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

CVE-2026-65402: Fábio Luís @scanpt, Richard Zana, Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

CVE-2026-65359: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або пошкоджувати пам’ять ядра.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню керування станами.

CVE-2026-84507: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему із читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.

CVE-2026-86903: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Kernel

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню перевірок.

CVE-2026-84602: Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

libarchive

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему з переповненням буфера динамічної пам’яті вирішено завдяки вдосконаленню перевірки меж.

CVE-2026-86870: Kitten Food

Managed Configuration

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки файлів.

CVE-2026-86883: Sindre Sorhus, Morris Richman (@morrisinlife), Stuart Wallace, Tristan Brennan

MediaRemote

Вплив: програма в пісочниці може отримувати доступ до системної В’язки.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84628: Myeonghun Pak, Nathaniel Oh (@calysteon), Alan Banderas (@creeper4004)

MobileAccessoryUpdater

Вплив: підключення шкідливого аксесуара може призводити до неочікуваного завершення роботи системи.

Опис: проблему з пошкодженням даних у пам’яті вирішено завдяки поліпшенню перевірки вводу.

CVE-2026-86924: Matthew Zamat

MobileBackup

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2026-65411: Rodolphe Brunetti (@eisw0lf) з Lupus Nova

MobileBackup

Вплив: зловмисник із фізичним доступом до довіреного об’єднаного в пару пристрою може зчитувати та записувати довільні файли.

Опис: проблему з обходом шляху вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-84598: Drin Raci із sentry.security

Model I/O

Вплив: відкриття шкідливого файлу може призводити до неочікуваного завершення процесу.

Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки розміру.

CVE-2026-84497: Yiğit Can YILMAZ (@yilmazcanyigit)

Music

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84615: Stanislav Jelezoglo

NetworkExtension

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-43695: Claudio Bozzato та Francesco Benvenuto із Cisco Talos

NetworkExtension

Вплив: програма може визначати, яке інше ПЗ встановив користувач.

Опис: проблему з розкриттям інформації усунено завдяки вдосконаленню керування станами.

CVE-2026-84626: Sindre Sorhus, Hoffcona з IES Red Team

Photos Storage

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-84491: анонімний дослідник

Photos Storage

Вплив: програма може знімати відбитки пальців користувача.

Опис: проблему вирішено завдяки додатковим перевіркам прав.

CVE-2026-84629: Stanislav Jelezoglo

Power Management

Вплив: програма може створювати цифровий відбиток пристрою.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84623: Ilya Andr (andrd3v)

RealityKit

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

CVE-2026-28966: stratan (@5tratan)

RealityKit

Вплив: відкриття шкідливого файлу може призводити до неочікуваного завершення процесу або розкриття пам’яті процесів.

Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-84532: Hongsik Kim (mnur), stratan (@5tratan)

Reminders

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок.

CVE-2026-65403: Rahul Raj

Safari

Вплив: шкідливий вебсайт може визначати, які програми інстальовано в користувача.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2026-84518: Bálint Magyar (balintmagyar.com)

Safe Browsing

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки додатковим перевіркам прав.

CVE-2026-86897: Stuart Wallace

Sandbox

Вплив: програма може обходити мережеві обмеження.

Опис: проблему з логікою вирішено завдяки поліпшенню перевірки.

CVE-2026-84551: Issa Sancho

Sandbox Profiles

Вплив: програма може знімати відбитки пальців користувача.

Опис: проблему з дозволами вирішено завдяки застосуванню додаткових обмежень ізольованого програмного середовища.

CVE-2026-84625: Ilya Andr (andrd3v) з Positive Technologies, CJ Vana

Sandbox Profiles

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-84603: Gongyu Ma (@Mezone0), CJ Vana, Stanislav Jelezoglo

SceneKit

Вплив: обробка шкідливого файлу може призводити до розкриття пам’яті процесів.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-84487: stratan (@5tratan), Dhiyanesh Selvaraj (@redroot97), Peter Malone

SceneKit

Вплив: обробка шкідливої 3D-моделі може призводити до пошкодження пам’яті.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-84632: Peter Malone

SceneKit

Вплив: обробка шкідливої 3D-моделі може призводити до пошкодження пам’яті.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2026-84620: Peter Malone

SceneKit

Вплив: обробка шкідливої 3D-моделі може призводити до пошкодження пам’яті.

CVE-2026-84546: Narendra Singh (@_3P1C), stratan (@5tratan), Peter Malone

CVE-2026-84611: Nathaniel Oh (@calysteon)

SceneKit

Вплив: обробка шкідливої 3D-сцени може призводити до неочікуваного завершення процесу.

CVE-2026-84526: stratan (@5tratan)

Security

Вплив: зловмисник зі скомпрометованим проміжним центром сертифікації може випускати сертифікати з довільними розширеними призначеннями ключів.

Опис: проблему з перевіркою сертифікатів вирішено завдяки вдосконаленню їх перевірки.

CVE-2026-86881: Surya Narayan Kushwaha, Roman Zabicki, John Lussier, Filip Olszak

Security

Вплив: обробка шкідливих вхідних даних NTLM може призводити до неочікуваного завершення роботи програми.

CVE-2026-84531: Meshaal (@unrealmesh)

Shortcuts

Вплив: шкідлива швидка команда може надсилати повідомлення без підтвердження користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84600: Owen Pawling (@owenpawling)

Siri

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-86884: Stanislav Jelezoglo, Gongyu Ma (twitter @Mezone0)

Siri Suggestions

Вплив: зловмисник, який має фізичний доступ до заблокованого пристрою, може переглянути конфіденційну інформацію користувача.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2026-86890: Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія)

Software Update

Вплив: програма може змінювати захищені системні файли.

Опис: проблему з дозволами вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-84609: YingMuo (@YingMuo) з DEVCORE Research Team

Spotlight

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню контролю доступу.

CVE-2026-84621: Abodi Dawoud, Armend Gashi, Ujjwal Reddy Kalvolu Sreenivasa Reddy, Johan Wahyudi

SpringBoard

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему вирішено завдяки додатковим перевіркам прав.

CVE-2026-86892: Lehan Dilusha Jayasingha

Storage

Вплив: програма може змінювати захищені частини файлової системи.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-65348: Jérôme Djouder

Storage

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-65345: Seung Je Seong, Ilya Andr (andrd3v) з Positive Technologies, Jakob Pammer, 이재영

Symptom Framework

Вплив: шкідлива програма може визначати поточне місцезнаходження користувача.

Опис: проблему з приватністю вирішено завдяки вдосконаленню маскування приватних даних для записів журналу.

CVE-2026-84513: Sindre Sorhus

TCC

Вплив: програма може змінювати захищені системні файли.

Опис: проблему з обходом шляху вирішено завдяки поліпшенню перевірки вводу.

CVE-2026-86886: Constantin Clerc, Shad J, huami1314 (@huamidev), Huy Nguyen (@34306) з Calif.io, анонімний дослідник

TCC

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-84527: Zeyang Li та Yuxiang Wang із Chongqing Telecom

Telephony

Вплив: зловмисник із привілейованим положенням у мережі може обходити автентифікацію IPSec і перехоплювати мережевий трафік.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-65329: Bedran Karakoc, Tobias Funke, Jacopo Clark, Katharina Kohls із Рурського університету в Бохумі

Time Zone

Вплив: програма може обходити певні параметри приватності.

Опис: проблему приватності вирішено завдяки вилученню конфіденційних даних.

CVE-2026-86887: анонімний дослідник

Watch App

Вплив: програма може відстежувати користувача в інших програмах і на сайтах без дозволу.

Опис: проблему з приватністю вирішено завдяки вдосконаленню керування станами.

CVE-2026-86904: Stanislav Jelezoglo

WebKit

Вплив: обробка шкідливого вебконтенту може призводити до неочікуваного завершення процесу.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 310457

CVE-2026-84635: Souta Sugiyama

WebKit

Вплив: обробка шкідливого вебконтенту може призводити до розкриття конфіденційних даних користувача.

Опис: проблему з дозволами вирішено завдяки видаленню вразливого коду.

WebKit Bugzilla: 315121

CVE-2026-64753: Viggo Lekdorf

WebKit

Вплив: відкриття шкідливого файлу вебархіву може призвести до універсального виконання міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 3182711

CVE-2026-86898: Tomi Garcia (archyxsec)

WebKit Canvas

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення роботи Safari.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

WebKit Bugzilla: 313935

CVE-2026-64718: Niels Hofmans, OGINOME Tomohito, анонімний дослідник

Wi-Fi3

Вплив: зловмисник із фізичним доступом до відімкненого пристрою може переглядати паролі Wi-Fi без автентифікації.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-43674: Yusuf Kelany

Wi-Fi Connectivity

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84636: Jian Lee (@speedyfriend433)

XPC

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.

CVE-2026-84617: Stuart Wallace

Додаткова подяка

Accessibility

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія).

Accounts

Дякуємо за допомогу користувачу Wojciech Regula із SecuRing (wojciechregula.blog).

Apple Intelligence

Дякуємо за допомогу анонімному досліднику.

AppleKeyStore

Дякуємо за допомогу Abdurrahman Nafi, Francisco Knabe, Karol Mazurek (@Karmaz95) з AFINE, Somair Ansar, YOKI, 晓娟谢 і анонімному досліднику.

Audio

Дякуємо за допомогу Dhiyanesh Selvaraj (@redroot97).

AutoFill

Дякуємо за допомогу Bistrit Dahal, Oussama Barbar і SalahAldeen Yousef.

AVEVideoEncoder

Дякуємо за допомогу tamdao.

Baseband

Дякуємо за допомогу Kai Tu, Tianchang Yang, Xiaotian Zhou, Ali Ranjbar, Abdullah Al Ishtiaq, Tianwei Wu, Yilu Dong і Syed Rafiul Hussain із лабораторії системної та мережевої безпеки в Пенсильванському державному університеті.

Bluetooth

Дякуємо за допомогу David Maynor, Jason Grove, Suresh Sundaram, Youssef Ahmed Saad і jioundai.

BOM

Дякуємо за допомогу 2ourc3 | Salim Largo.

Calendar

Дякуємо за допомогу Atul Kishor Jaiswal, Dany Assuid, Jacob Hazak із Zero-Defense Labs, Varik Matevosyan і stratan (@5tratan).

CipherML

Дякуємо за допомогу Nils Hanff (@nils1729@chaos.social) з Інституту ім. Хассо Платтнера.

CloudKit

Дякуємо за допомогу Ahmed Alwardani та Hikerell (Loadshine Lab).

Contacts

Дякуємо за допомогу 이지안 (@speedyfriend433).

copyfile

Дякуємо за допомогу Morris Richman (@morrisinlife) і Jian Lee (@speedyfriend433).

Core Location

Дякуємо за допомогу CJ Vana.

CoreAnimation

Дякуємо за допомогу Duy Trần (@khanhduytran0).

CoreAudio

Дякуємо за допомогу Patrick Saif (x.com/weezerOSINT, github.com/sai2fast).

CoreBluetooth — LE

Дякуємо за допомогу Ashmit Sharma й Atul RV, Dun, Maliq Barnard, Nicholas C. з Onymos Inc. (onymos.com), Peter Malone і Robert M.

CoreCrypto

Дякуємо за допомогу Lakshay Sharma.

CoreGraphics

Дякуємо за допомогу Gandalf4a із Чаншаського інституту обчислювальної та цифрової економіки Пекінського університету.

CoreMedia

Дякуємо за допомогу Chris Bailey із Short Circuit.

CoreText

Дякуємо за допомогу Chris Bailey із Short Circuit, Jian Lee (@speedyfriend433) і shobhit srivastav.

CoreUI

Дякуємо за допомогу користувачу Peter Malone.

DataAccess

Дякуємо за допомогу Adetayo Adebimpe (Cyboghostginx).

DiskArbitration

Дякуємо за допомогу Arni Hardarson (Neonix Security), FRO, Mustafa Ahmed, Thomas Guillem, 九宫格 із Chongqing Telecom.

FaceTime

Дякуємо за допомогу Souhaib Naceri.

Files

Дякуємо за допомогу анонімному досліднику.

Foundation

Дякуємо за допомогу Daniel Luedke, Pavan Nallamothu, Peter Malone та Tiago «Balgan» Henriques.

HFS

Дякуємо за допомогу анонімному досліднику.

iCloud

Дякуємо за допомогу 3ndy1 (@_3ndy1) і moyu.

iCloud Photo Library

Дякуємо за допомогу анонімному досліднику.

ImageIO

Дякуємо за допомогу Muhamad Syaiful, songbird і анонімному досліднику.

IOMobileFrameBuffer

Дякуємо за допомогу Iain Harkiss і Jian Lee (@speedyfriend433).

IOSurface

Дякуємо за допомогу N.M.Praveen Nawarathne (@zblockrat) і ธนกฤต ทัฬหะ.

IOSurfaceAccelerator

Дякуємо за допомогу Chanwit Muenprakoddee (ChemIndy), Franco Belman із Blackwing Intelligence, Iain Harkiss, beist, hxr1 і анонімному досліднику.

Kernel

Дякуємо за допомогу Bhaswanth Chigurupati, Billy Jheng Bing Jhong і Pan Zhenpeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd., Cem Onat Karagun, DARKNAVY (@DarkNavyOrg), James Duffy (@0x4A616D657344), Kang Sangkwun, Lyutoon, N.M.Praveen Nawarathne (@zblockrat), Nebula Security (@nebusecurity), Nicolas Seriot, Peter Malone, Redon Gashi із Sentry, Robert Tran, Tristan Madani (@TristanInSec) з Talence Security, Xiang Li з AOSP Lab при Нанькайському університеті і анонімному досліднику.

LaunchServices

Дякуємо за допомогу Rosyna Keller із Totally Not Malicious Software (paradisefacade.com).

mDNSResponder

Дякуємо за допомогу Anton Pakhunov, Franciszek Kalinowski (striga.ai / isec.pl), Hannes Weissteiner, Roland Czerny, Simone Franza, Stefan Gast і Daniel Gruss із Технічного університету Граца та Johanna Ullrich з Міждисциплінарного трансформаційного університету (IT:U), Issa Sancho, Jian Zhou, і 章鱼哥@aipy (aipyaipy.com).

Messages

Дякуємо за допомогу Pratyush Dutta.

Notes

Дякуємо за допомогу Peter Henri.

Notifications

Дякуємо за допомогу Abhay Kailasia (@abhay_kailasia) із Safran (Мумбай, Індія), Himanshu Bharti @Xpl0itme із Khatima та Jan Rokita (rokita.me).

PaperKit

Дякуємо за допомогу Rahul Raj.

Passwords

Дякуємо за допомогу Catalin Lita з Moralis, Christian Kohlschütter, David Coomber з Info-Sec.CA, Lukasz Tulikowski із Software Cloud, Sujay Amin і анонімному досліднику.

ppp

Дякуємо за допомогу Cem Onat Karagun.

Printing

Дякуємо за допомогу Stuart Wallace.

Pro Res

Дякуємо за допомогу Nik Tsytsarkin із Meta Red Team X.

Quick Look

Дякуємо за допомогу користувачу Peter Malone.

RemoteServiceDiscovery

Дякуємо за допомогу Tristan Madani (@TristanInSec) із Talence Security та анонімному досліднику.

Safari

Дякуємо за допомогу Dem0ns @天府简易信工作室.

Safari Downloads

Дякуємо за допомогу Barath Stalin K (linkedin.com/in/barathstalin), Exell Nakano, Manojkumar Jaganathan (linkedin.com/in/manojkumar-j-7ba35b202/) з HackerBro Technologies, Praditya Fajar Ramadhan, Zhiyang Zeng (@Wester) і shobhit srivastav.

Safari Extensions

Дякуємо за допомогу Jake Derouin (jakederouin.com).

Sandbox Profiles

Дякуємо за допомогу Lachlan Bauerochse.

Security

Дякуємо за допомогу John Lussier, Masahiro Kawada (@kawakatz) і Roman Zabicki.

Settings

Дякуємо за допомогу анонімному досліднику.

Share Sheet

Дякуємо за допомогу Atul Kishor Jaiswal і Benjamin Hornbeck.

Shortcuts

Дякуємо за допомогу Csaba Fitzl (@theevilbit) з Iru, GP і Owen Pawling (@owenpawling).

Status Bar

Дякуємо за допомогу Andr.Ess і Rosyna Keller із Totally Not Malicious Software.

Terminal

Дякуємо за допомогу Stuart Thomas.

UIKit

Дякуємо за допомогу Jorge Welch.

Virtualization

Дякуємо за допомогу Ye Zhang (@VAR10CK) з Baidu Security.

VoiceOver

Дякуємо за допомогу Hariji Vivek Pandey.

WebKit

Дякуємо за допомогу @TristanInSec, Behzad Najjarpour Jabbari (@_G4ru_), Big Bear, Eddy Tsalolikhin, Henock Habte, Kenneth Hsu, Maher Azzouzi, Meridian Miftari, Amy Burnett (OpenAI Codex Security), Souta Sugiyama, Vitaly Simonovich, hamayanhamayan, lattice, ret2happy, wwwlk і анонімному досліднику.

WebKit Canvas

Дякуємо за допомогу Utkarsh Pal.

WebKit JavaScript Bindings

Дякуємо за допомогу hamayanhamayan.

Wi-Fi

Дякуємо за допомогу E Vestavik (@Dynasty).

Widgets

Дякуємо за допомогу Vishnu Prasad P G, Akshaya S і анонімному досліднику.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: вересня 17, 2026