Tietoja iOS 18.7.10:n ja iPadOS 18.7.10:n turvallisuussisällöstä

Tämä päivitys sisältää suojauskorjauksia, jotka on tuotu saataville ensin iOS 26.6:n ja 27:n ja iPadOS 26.6:n ja 27:n beetaversioissa. Tässä asiakirjassa kerrotaan iOS 18.7.10:n ja iPadOS 18.7.10:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 18.7.10 ja iPadOS 18.7.10

Accessibility

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja iPhone-peilauksen aikana.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2026-64732: Jorge Welch (@jorgwelch)

AirDrop

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: saavutettavissa olevaan väittämään liittyvä ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-43667: Arash Ale Ebrahim (CISPA Helmholtz Center for Information Securityn SCy-Phy-tutkimusryhmä)

APFS

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etäkäyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai vioittamaan kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64695: Narendra Singh (@_3P1C), Peter Malone

App Store

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2026-43801: Rahul Raj

AppleDouble

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: puskurin ylivuoto on korjattu parantamalla rajojen tarkistusta.

CVE-2026-43776: Peter Malone, Nicolas Rabrenovic, Irvin Wang

Audio

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64725: Seonung Park, ALTV!ST (altvi.st/)

AVEVideoEncoder

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla

Kuvaus: Puskurin ylivuoto on korjattu parantamalla koon tarkistusta.

CVE-2026-64747: Franco Belman (Blackwing Intelligence)

AVEVideoEncoder

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64762: Franco Belman (Blackwing Intelligence), Dun

BackgroundAssets

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä poistamaan tiedostoja, joihin sillä ei ole lupaa.

Kuvaus: käyttöoikeusongelma on ratkaistu parantamalla validointia.

CVE-2026-64707: YingQi Shi (@Mas0nShi, DBAppSecurityn WeBin-laboratorio)

Books

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: kilpailutilanne on ratkaistu parantamalla tarkistuksia.

CVE-2026-43811: Rodolphe Brunetti (@eisw0lf, Lupus Nova)

Contacts

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään yhteystietoja ilman käyttäjän suostumusta.

Kuvaus: tarkistusongelma on korjattu parantamalla validointia.

CVE-2026-64746: Rodolphe Brunetti (@eisw0lf, Lupus Nova), Daniel Febrero

Contacts

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen yhteystiedon käsittely saattoi vuotaa arkaluontoisia tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-64734: Daniel Williams

Contacts

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään tietoja käyttäjän yhteystiedoista.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2026-43797: Arni Hardarson (Neonix Security)

CoreAudio

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen äänitiedoston käsitteleminen saattoi vioittaa prosessimuistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43673: , nimetön yhteistyössä TrendAI Zero Day Initiativen kanssa

CoreAudio

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen mediatiedoston äänistriimin käsittely saattoi lopettaa prosessin.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-43744: ret2happy, Mathis Mansière, nimetön tutkija

CoreAudio

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-43803: Rahul Raj

CoreMedia

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen videotiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43711: James Duffy (@0x4A616D657344)

CoreUI

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen resurssikatalogin käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43738: Peter Malone

CoreVideo

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-43802: nimetön tutkija

curl

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: varmennustunnisteet saatettiin lähettää toisen alkuperän palvelimelle.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2026-3784

CVE-2026-3783

Foundation

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen puhdistamista.

CVE-2026-43714: nimetön tutkija

FrontBoard

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu käyttämällä tiedonsiirtoon verkossa HTTPS-protokollaa.

CVE-2026-64742: Huỳnh Tấn Ngàn

Game Center

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2026-64740: Manuel Fernandez (Stackhopper Security)

Game Center

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä lukemaan pysyvän laitetunnisteen

Kuvaus: Ongelma on ratkaistu parantamalla tietojen suojausta.

CVE-2026-43796: Stanislav Jelezoglo, Ilya Andr (andrd3v, Positive Technologies)

Heimdal

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64692: Redon Gashi

ImageIO

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen kuvan käsitteleminen saattoi vioittaa prosessimuistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64716: Peter Malone, Jonathan Alush-Aben, Arni Hardarson

CVE-2026-28990: Jiri Ha, Arni Hardarson

ImageIO

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen kuvan käsitteleminen saattoi vioittaa prosessimuistia.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43661: Gandalf4a (PKU-ICODE), Anton Pakhunov, nimetön tutkija

ImageIO

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-43818: nimetön tutkija

ImageIO

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen kuvan käsittely saattoi johtaa palvelunestoon.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-64693: Geonha Lee (@leegn4a)

IOSkywalkFamily

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-39877: Richard Zana, Dhiyanesh Selvaraj (@redroot97)

IOSurfaceAccelerator

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: tietovuoto-ongelma on ratkaistu lisätarkistuksilla.

CVE-2026-64760: Seiji Sakurai (@HeapSmasher), Franco Belman (Blackwing Intelligence), nimetön tutkija

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64749: hxr1, Hiroki Imai (LAC Co., Ltd.), Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.), Ashish Kunwar

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: tietovuoto-ongelma on ratkaistu lisätarkistuksilla.

CVE-2026-64744: Ryan Hileman (Xint Code, xint.io)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43778: Ashish Kunwar, f0r (MurphySec), Mahmoud Abdelmoniem, Feng Xue ja XGPT (ThreatBook), Wang Yu, Nicolas Rabrenovic, Lyutoon, Hiroki Imai (LAC Co., Ltd.), Fábio Luís @scanpt, DARKNAVY (@DarkNavyOrg), nimetön tutkija

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etähyökkääjä saattoi pystyä ohittamaan verkon suodattimet.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2026-64735: Gor Aleksanyan

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43822: Michal Kosiorek, Eddy Tsalolikhin

CVE-2026-43799: Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

CVE-2026-64700: Asjid Kalam (@odinshell)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen puhdistamista.

CVE-2026-43724: impost0r (ret2plt), Hyunwoo Kim (@v4bel)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-43769: Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen puhdistamista.

CVE-2026-43722: Hyunwoo Kim (@v4bel), Feng Xue ja XGPT (ThreatBook)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2026-64721: Lukas Gerlach

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-43809: Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

CVE-2026-43757: Wang Yu, Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen sensuroimista.

CVE-2026-43754: Ernesto Martínez García, Calif Research

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2026-64723: Ji'an Zhou, Mingxuan Yang, Ye Zhang

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: Ongelma on ratkaistu parantamalla annettujen tietojen tarkistamista.

CVE-2026-39868: Ye Zhang (@VAR10CK, Baidu Security), Vladislav Shevchenko (Positive Technologies), Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etäkäyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai vioittamaan kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43810: Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

Kernel

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64709: Pasquale Scola, Billy Jheng Bing Jhong ja Pan Zhenpeng (@Peterpan0927) (STAR Labs SG Pte. Ltd.)

libarchive

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2026-4424

libc

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-28973: nimetön tutkija

Libnotify

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: hyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64739: Feng Xue ja XGPT (ThreatBook), Dun

Managed Configuration

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2026-64743: Daniel Febrero

Maps

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2026-64738: Robert Mindo, Nathaniel Oh (@calysteon)

mDNSResponder

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: hyökkääjä paikallisessa verkossa saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64724: Daisuke Hatakeyama (@SYZD Research)

MediaRemote

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2026-43723: Richard Zana, Andreas Jaegersberger ja Ro Achterberg (Nosebeard Labs)

MobileAccessoryUpdater

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen lisälaite saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen.

Kuvaus: puskurin ylivuoto on korjattu parantamalla rajojen tarkistusta.

CVE-2026-43807: Tristan Madani (@TristanInSec, Talence Security)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen kuvan käsitteleminen saattoi vioittaa prosessimuistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43733: Michael DePlante (@izobashi, TrendAI Zero Day Initiative)

CVE-2026-43729: Michael DePlante (@izobashi, TrendAI Zero Day Initiative)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen tai keon vioittumisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2026-64772: wh0am1i, stratan (@5tratan)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen tai keon vioittumisen.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-64774: stratan (@5tratan)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen tai keon vioittumisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64770: stratan (@5tratan)

CVE-2026-64769: stratan (@5tratan)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: 3D-mallin käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64722: wh0am1i

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin lukemiseen liittyvä ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-64768: stratan (@5tratan)

Model I/O

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen tai keon vioittumisen.

Kuvaus: puskurin ylivuoto on korjattu parantamalla rajojen tarkistusta.

CVE-2026-64771: wh0am1i

Pro Res

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43812: Francisco Knabe

SceneKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64764: stratan (@5tratan)

SceneKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu poistamalla haavoittuva koodi.

CVE-2026-64763: stratan (@5tratan)

SceneKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2026-64766: stratan (@5tratan)

CVE-2026-64765: stratan (@5tratan)

Siri

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietojen paljastumiseen liittyvä ongelma ratkaistiin poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2026-43800: Stanislav Jelezoglo

Storage

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: Kilpailutilanne on ratkaistu lisätarkistuksilla.

CVE-2026-28996: Alex Radocea

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43658: Do Young Park

CVE-2026-65338: OpenAI Codex Security – Amy Burnett

CVE-2026-43795: wwwlk

CVE-2026-28984: Artem Dinaburg (Trail of Bits) Anthropic CVD:n kautta

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: Ongelma on ratkaistu parantamalla tietojen suojausta.

CVE-2026-28958: Cantina

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-28947: dr3dd

CVE-2026-43727: Tommy DeVoss (Braze Security Team, @thedawgyg), Gurpreet Shergill, Gia Bui (@yabeow, Calif.io)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-43735: Rhyru9, Merrick Hare, Kwak Kiyong, Song Nuri, Khai Tran, John Lussier, Gurpreet Shergill, Drinor Selmanaj (Sentry)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-39872: Utkarsh Pal, Ignacio Sanmillan (@ulexec)

CVE-2026-43663: Z.AI:n GLM:n avulla, Tristan Madani (@TristanInSec, Talence Security), stratan (@5tratan, Almamater Technologies), Soyeon Park, Amy Burnett, Khai Tran, sherkito, Kota Toda, HexRabbit (@h3xr4bb1t) ja NiNi (@terrynini38514) (DEVCORE Research Team), Brian Carpenter

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2026-65334: OpenAI Codex Security – Amy Burnett

CVE-2026-64757: Milad Nasr ja Nicholas Carlini (Claude, Anthropic)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64784: Janggoon Lee (Out of Bounds), OpenAI Codex Security – Amy Burnett

CVE-2026-43676: Tommy DeVoss (Braze Security Team, @thedawgyg), Mateusz Krzywicki (iVerify.io), dr3dd

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2026-65331: OpenAI Codex Security – Amy Burnett

CVE-2026-65335: OpenAI Codex Security – Amy Burnett

CVE-2026-65332: OpenAI Codex Security – Amy Burnett

CVE-2026-65333: OpenAI Codex Security – Amy Burnett

CVE-2026-65337: OpenAI Codex Security – Amy Burnett

CVE-2026-65336: Josef Korbel

CVE-2026-65340: Josef Korbel (Citadelo), Claudio Bozzato ja Francesco Benvenuto (Cisco Talos)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2026-64781: Thomas Guillem

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2026-64782: Shubham Chaskar, Seonwook Kim, lattice, Josef Korbel

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-65341: Henock Habte

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-64715: Hossein Lotfi (@hosselot, TrendAI Zero Day Initiative)

CVE-2026-43734: Jonathan Alush-Aben

CVE-2026-43726: Utkarsh Pal, Tristan Madani (@TristanInSec, Talence Security), stratan (@5tratan, Almamater Technologies), Narendra Singh (@_3P1C), Josef Korbel (Citadelo), Gia Bui (@yabeow, Calif.io)

CVE-2026-43699: Tommy DeVoss (@thedawgyg, Braze Security Team)

CVE-2026-43742: Юлия Мерцалова

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-64780: OpenAI Codex Security – Amy Burnett

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-43794: Dung Do (@_piers2, Calif.io)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen verkkosivusto saattoi pystyä käsittelemään rajoitettua verkkosisältöä sandboxin ulkopuolella.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2026-43725: Luke Francis

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43731: dr3dd

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-43705: dr3dd

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2026-43708: Behzad Najjarpour Jabbari (@_G4ru_)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi paljastaa arkaluonteisia käyttäjätietoja

Kuvaus: eri alkuperiin liittyvä ongelma on ratkaistu parantamalla suojauksen alkuperän seurantaa.

CVE-2026-43700: Vitaly Simonovich, Muhamad Syaiful, Christian Meurer Xavier

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallinen verkkosivusto saattoi pystyä käsittelemään rajoitettua verkkosisältöä sandboxin ulkopuolella.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-43701: Aaron Grattafiori (NVIDIA AI Red Team)

WebKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2026-43745: OpenAI Codex Security – Amy Burnett, Khai Tran

WebKit Canvas

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43720: Josef Korbel, Gia Bui (@yabeow, Calif.io)

WebKit History

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisella verkkosivustolla käynti saattoi vuotaa arkaluontoisia tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2026-64778: Mohit Negi

WebKit Process Model

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä lukemaan tiedostoja sen hiekkalaatikon ulkopuolella.

Kuvaus: käyttöongelma on ratkaistu lisäämällä käyttörajoituksia.

CVE-2026-43821: Brian Carpenter

WebKit Storage

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2026-64779: Tommy DeVoss (Braze Security Team, @thedawgyg), Shubham Chaskar

WebRTC

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2026-43717: Nan Wang (@eternalsakura13)

WebRTC

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-28979

WebRTC

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2026-64719: Shaheen Fazim

Wi-Fi

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: fyysisesti lähellä sijaitseva hyökkääjä saattoi pystyä vioittamaan järjestelmämuistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2026-64726: Peter Malone, Mathis Mansière

WorkoutKit

Saatavuus: iPhone XS, iPhone XS Max, iPhone XR, iPad 7. sukupolvi

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2026-64755: Stuart Wallace

Kiitokset

CoreMedia

Haluamme kiittää avusta yaohwayta.

Kernel

Haluamme kiittää avusta Billy Jheng Bing Jhongia ja Pan Zhenpengia (@Peterpan0927) (STAR Labs SG Pte. Ltd.), Chris Betziä, James Duffya (@0x4A616D657344), Mathis Mansièreä, Tristan Rousseau’ta, Yeojin Kimiä ja YingMuoa (@YingMuo, DEVCORE Research Team).

mDNSResponder

Haluamme kiittää avusta seuraavia henkilöitä: Cem Onat Karagun, He Wei (ギカク), Jex Amro ja 章鱼哥 (@aipy, aipyaipy.com).

Printing UIKit

Haluamme kiittää avusta Jacolon Walkeria ( @call_eax ).

WebKit

Kiitämme Henock Habtea ja Souta Sugiyamaa heidän antamastaan avusta.

WebKit JavaScript Bindings

Haluamme kiittää Karan Kurania hänen antamastaan avusta.