Zawartość związana z zabezpieczeniami w systemach iOS 18.7.7 i iPadOS 18.7.7

Zawartość związana z zabezpieczeniami w systemach iOS 18.7.7 i iPadOS 18.7.7.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

iOS 18.7.7 i iPadOS 18.7.7

Wydano 24 marca 2026 r.

Uwaga: 1 kwietnia 2026 r. udostępniliśmy system iOS 18.7.7 większej liczbie urządzeń. Dzięki temu użytkownicy z włączonymi automatycznymi uaktualnieniami będą mogli automatycznie otrzymywać ważne zabezpieczenia przed atakami internetowymi o nazwie DarkSword. Poprawki związane z luką w zabezpieczeniach DarkSword pojawiły się po raz pierwszy w 2025 roku.

802.1X

Dostępne dla: iPhone’a XR, iPhone’a XS, iPhone’a XS Max, iPhone’a 11 (wszystkich modeli), iPhone’a SE (2. generacji), iPhone’a 12 (wszystkich modeli), iPhone’a 13 (wszystkich modeli), iPhone’a SE (3. generacji), iPhone’a 14 (wszystkich modeli), iPhone’a 15 (wszystkich modeli), iPhone’a 16 (wszystkich modeli), iPhone’a 16e, iPada mini (5 generacji — A17 Pro), iPada (7 generacji — A16), iPada Air (3–5 generacji), iPada Air 11 cali (M2–M3), iPada Air 13 cali (M2–M3), iPada Pro 11 cali (1 generacji — M4), iPada Pro 12,9 cali (3–6 generacji) i iPada Pro 13 cali (M4)

Zagrożenie: atakujący z uprzywilejowanym dostępem do sieci może być w stanie przechwycić ruch sieciowy.

Opis: usunięto błąd dotyczący uwierzytelniania przez poprawienie mechanizmu zarządzania stanem.

CVE-2026-28865: Héloïse Gollier i Mathy Vanhoef (KU Leuven)

AppleKeyStore

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zakończenie działania systemu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2026-20637: Johnny Franks (zeroxjf), anonimowy badacz

Audio

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

CVE-2026-28879: Justin Cohen z Google

Clipboard

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności łączy symbolicznych.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Zagrożenie: Przetworzenie strumienia audio w złośliwie spreparowanym pliku multimedialnym może spowodować zakończenie procesu.

Opis: usunięto błąd dostępu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2026-20690: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CoreUtils

Zagrożenie: użytkownik z uprzywilejowanym dostępem do sieci może być w stanie spowodować atak typu „odmowa usługi”.

Opis: naprawiono błąd dereferencji wskaźnika null przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2026-28886: Etienne Charron (Renault) i Victoria Martini (Renault)

Crash Reporter

Zagrożenie: aplikacja może być w stanie odczytać listę aplikacji zainstalowanych przez użytkownika.

Opis: rozwiązano problem z prywatnością przez usunięcie poufnych danych.

CVE-2026-28878: Zhongcheng Li z IES Red Team

curl

Zagrożenie: Występował problem w curl, który mógł skutkować niezamierzonym przesyłaniem poufnych informacji przez niewłaściwe połączenie.

Opis: jest to luka w kodzie open source, a oprogramowanie Apple jest jednym z wielu dotkniętych problemem. Ten identyfikator CVE został przypisany przez podmiot zewnętrzny. Dowiedz się więcej o problemie i identyfikatorze CVE-ID na stronie cve.org.

CVE-2025-14524

DeviceLink

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: poprawiono mechanizm sprawdzania poprawności ścieżek w celu naprawiono błędu analizy składniowej w obsłudze ścieżek katalogowych.

CVE-2026-28876: Andreas Jaegersberger i Ro Achterberg z Nosebeard Labs

Focus

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Zagrożenie: aplikacja może być w stanie odczytać listę aplikacji zainstalowanych przez użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2026-28880: Zhongcheng Li z IES Red Team

ImageIO

Zagrożenie: przetworzenie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji.

CVE-2025-64505

iTunes Store

Zagrożenie: Użytkownik mający fizyczny dostęp do urządzenia z systemem iOS może być w stanie obejść blokadę aktywacji.

Opis: usunięto błąd w procedurze obsługi wyrażeń przez poprawienie procedury sprawdzania poprawności.

CVE-2025-43534: iG0x72 i JJ z XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Zagrożenie: aplikacja może być w stanie ujawnić pamięć jądra.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2026-28868: 이동하 (Lee Dong Ha z BoB 0xB6)

Kernel

Zagrożenie: aplikacja może być w stanie ujawnić poufny stan jądra.

Opis: ten błąd naprawiono przez poprawienie mechanizmu uwierzytelniania.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zamknięcie systemu lub zapisanie pamięci jądra.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2026-20687: Johnny Franks (@zeroxjf)

mDNSResponder

Zagrożenie: aplikacja może być w stanie ujawnić poufny stan jądra.

Opis: ten błąd naprawiono przez poprawienie mechanizmu uwierzytelniania.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Zagrożenie: lokalna osoba atakująca może uzyskać dostęp do rzeczy w pęku kluczy.

Opis: ten błąd naprawiono przez poprawienie sprawdzania uprawnień.

CVE-2026-28864: Alex Radocea

UIFoundation

Zagrożenie: aplikacja może doprowadzić do ataku typu „odmowa usługi”.

Opis: naprawiono błąd przepełnienia stosu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2026-28852: Caspian Tarafdar

Vision

Zagrożenie: analizowanie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2026-20657: Andrew Becker

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może uniemożliwić wprowadzenie reguł Content Security Policy.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości www może ominąć zasadę tego samego pochodzenia.

Opis: naprawiono błąd dotyczący różnych źródeł w interfejsie API Navigation przez poprawienie sprawdzania poprawności danych wejściowych.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Zagrożenie: osoba atakująca zdalnie może być w stanie wyświetlić wyciek zapytań DNS mimo włączonej funkcji Przekazywanie prywatne.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

WebKit Bugzilla: 295943

CVE-2025-43376: Mike Cardwell z grepular.com, Bob Lord

WebKit

Zagrożenie: złośliwa witryna może być w stanie uzyskać dostęp do procedur obsługi komunikatów skryptowych przeznaczonych dla innych źródeł.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu i Shuaike Dong z Ant Group Infrastructure Security Team

WebKit

Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może spowodować atak XSS (cross-site scripting).

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

Dodatkowe podziękowania

Safari

Dziękujemy za udzieloną pomoc: @RenwaX23.

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: 6 kwietnia 2026 г.