Проблеми системи безпеки, які усунено в оновленнях iOS 18.7.7 та iPadOS 18.7.7

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 18.7.7 та iPadOS 18.7.7

Дата випуску: 24 березня 2026 р.

Примітка. З 1 квітня 2026 року ми розширили доступність iOS 18.7.7 для більшої кількості пристроїв, тож користувачі, у яких увімкнено параметр «Автооновлення», зможуть автоматично отримувати важливі засоби захисту від вебатак під назвою DarkSword. Ці виправлення, пов’язані з уразливістю DarkSword, уперше були випущені у 2025 році.

802.1X

Цільові продукти: iPhone XR, iPhone XS, iPhone XS Max, iPhone 11 (усі моделі), iPhone SE (2-го покоління), iPhone 12 (усі моделі), iPhone 13 (усі моделі), iPhone SE (3-го покоління), iPhone 14 (усі моделі), iPhone 15 (усі моделі), iPhone 16 (усі моделі), iPhone 16e, iPad mini (5-го покоління, A17 Pro), iPad (7-го покоління, A16), iPad Air (3–5-го поколінь), iPad Air 11 дюймів (M2, M3), iPad Air 13 дюймів (M2, M3), iPad Pro 11 дюймів (1-го покоління, M4), iPad Pro 12,9 дюйма (3–6-го поколінь) та iPad Pro 13 дюймів (M4)

Вплив: зловмисник із привілейованим положенням у мережі може перехоплювати мережевий трафік.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2026-28865: Héloïse Gollier і Mathy Vanhoef (Католицький університет Левена)

AppleKeyStore

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20637: Johnny Franks (zeroxjf), анонімний дослідник

Audio

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

CVE-2026-28879: Justin Cohen із Google

Clipboard

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему усунено завдяки поліпшенню перевірки символьних посилань.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Вплив: обробка аудіопотоку в шкідливому медіафайлі може призводити до переривання процесу.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2026-20690: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

CoreUtils

Вплив: користувач із привілейованим положенням у мережі може спричинити відмову в обслуговуванні.

Опис: проблему розіменування нульового покажчика вирішено через поліпшення перевірки вводу.

CVE-2026-28886: Etienne Charron (Renault) і Victoria Martini (Renault)

Crash Reporter

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему приватності вирішено завдяки вилученню конфіденційних даних.

CVE-2026-28878: Zhongcheng Li з відділу IES Red

curl

Вплив: у curl виникала проблема, що могла призводити до випадкового надсилання конфіденційної інформації через неправильне з’єднання.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.

CVE-2025-14524

DeviceLink

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з аналізом під час обробки шляхів до каталогів вирішено завдяки вдосконаленню перевірки шляхів.

CVE-2026-28876: Andreas Jaegersberger та Ro Achterberg із Nosebeard Labs

Focus

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Вплив: програма може перелічувати, скільки програм інсталював користувач.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2026-28880: Zhongcheng Li з відділу IES Red

ImageIO

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

CVE-2025-64505

iTunes Store

Вплив: особа з фізичним доступом до пристрою iOS може обійти Замок активації.

Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.

CVE-2025-43534: iG0x72 і JJ із XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Вплив: програма може розкривати дані з пам’яті ядра.

Опис: проблему з входом вирішено завдяки вдосконаленню компонування вхідних даних.

CVE-2026-28868: 이동하 (Lee Dong Ha з BoB 0xB6)

Kernel

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.

Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.

CVE-2026-20687: Johnny Franks (@zeroxjf)

mDNSResponder

Вплив: програма може спричинити витік конфіденційної інформації про стан ядра.

Опис: проблему вирішено завдяки вдосконаленню автентифікації.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Вплив: локальний зловмисник може отримати доступ до елементів В’язки користувача.

Опис: цю проблему вирішено завдяки вдосконаленню перевірки дозволів.

CVE-2026-28864: Alex Radocea

UIFoundation

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: переповнення стека усунено завдяки поліпшенню перевірки вводу.

CVE-2026-28852: Caspian Tarafdar

Vision

Вплив: аналіз шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2026-20657: Andrew Becker

WebKit

Вплив: обробка зловмисного вебконтенту може завадити застосуванню політики безпеки контенту.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Вплив: обробка шкідливого вебконтенту може порушувати політику того самого походження.

Опис: проблему перехресного походження з Navigation API усунено завдяки вдосконаленню перевірки вводу.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Вплив: зловмисник міг дистанційно переглядати запити DNS, отримані в результаті витоку, з увімкненою функцією «Приват-реле».

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 295943

CVE-2025-43376: Mike Cardwell із grepular.com, Bob Lord

WebKit

Вплив: зловмисний вебсайт може отримати доступ до обробників повідомлень сценаріїв, призначених для інших джерел.

Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu та Shuaike Dong з Ant Group Infrastructure Security Team

WebKit

Вплив: відвідання вебсайту, розробленого зловмисниками, може призводити до атаки з використанням міжсайтових сценаріїв.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

Додаткова подяка

Safari

Дякуємо за допомогу користувачу @RenwaX23.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: квітня 06, 2026