Сведения о проблемах системы безопасности, устраняемых обновлениями iOS 26.3 и iPadOS 26.3

В этом документе описаны проблемы системы безопасности, устраняемые в iOS 26.3 и iPadOS 26.3.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

iOS 26.3 и iPadOS 26.3

Дата выпуска: 11 февраля 2026 г.

Accessibility

Целевые продукты: iPhone 11 и более поздних моделей, iPad Pro 12,9 дюйма 3-го или более позднего поколения, iPad Pro 11 дюймов 1-го или более позднего поколения, iPad Air 3-го или более позднего поколения, iPad 8-го или более позднего поколения, iPad mini 5-го или более позднего поколения

Воздействие. Злоумышленник с физическим доступом к заблокированному устройству может просматривать конфиденциальные данные пользователя.

Описание. Проблема с единообразием пользовательского интерфейса устранена путем улучшенного управления состояниями.

CVE-2026-20645: Loh Boon Keat

Accessibility

Описание. Проблема конфиденциальности устранена путем удаления конфиденциальных данных.

CVE-2026-20674: Jacob Prezant (prezant.us)

Bluetooth

Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может выполнить атаку «отказ в обслуживании» с помощью собственноручно созданных пакетов Bluetooth.

Описание. Проблема с отказом в обслуживании устранена путем улучшения процедуры проверки.

CVE-2026-20650: jioundai

Call History

Воздействие. У пользователя с выключенными расширениями «Определитель номера в режиме реального времени» может произойти утечка идентифицирующих данных в эти расширения.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20638: Nils Hanff (@nils1729@chaos.social) из Института им. Хассо Платтнера.

CFNetwork

Воздействие. Удаленный пользователь может записывать произвольные файлы.

Описание. Проблема с обработкой путей устранена за счет улучшения логики.

CVE-2026-20660: Amy (amys.website)

CoreAudio

Воздействие. Обработка вредоносного медиафайла может приводить к неожиданному завершению работы приложения или повреждению памяти процессов.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2026-20611: анонимный исследователь в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

CoreMedia

Воздействие. Обработка вредоносного файла может вызывать отказ в обслуживании или раскрывать содержимое памяти.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20609: Yiğit Can YILMAZ (@yilmazcanyigit)

CoreServices

Воздействие. Приложение может получить привилегии пользователя root.

Описание. Условие состязания устранено путем улучшения обработки состояний.

CVE-2026-20617: Gergely Kalman (@gergely_kalman), Csaba Fitzl (@theevilbit) из Iru

CoreServices

Воздействие. Приложение может получить привилегии пользователя root.

Описание. Проблема с обработкой пути устранена путем улучшенной проверки.

CVE-2026-20615: Csaba Fitzl (@theevilbit) из Iru и Gergely Kalman (@gergely_kalman)

CoreServices

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. При обработке переменных среды возникала ошибка. Проблема устранена путем улучшения процедуры проверки.

CVE-2026-20627: анонимный исследователь

dyld

Воздействие. Злоумышленник с возможностью записи данных в память может выполнять произвольный код. Компании Apple известно о том, что этой проблемой могли воспользоваться в ходе крайне сложной адресной атаки на конкретных пользователей с версиями iOS, выпущенными до iOS 26. По итогам этого отчета также были опубликованы уязвимости CVE-2025-14174 и CVE-2025-43529.

Описание. Проблема с повреждением данных в памяти устранена путем улучшения управления состояниями.

CVE-2026-20700: подразделение Threat Analysis Group компании Google

Game Center

Воздействие. Пользователь может просматривать конфиденциальные пользовательские данные.

Описание. Проблема с ведением журнала устранена путем улучшения скрытия данных.

CVE-2026-20649: Asaf Cohen

ImageIO

Воздействие. Обработка вредоносного изображения может приводить к раскрытию данных пользователя.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2026-20675: George Karchemsky (@gkarchemsky) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

ImageIO

Воздействие. Обработка вредоносного изображения может привести к раскрытию памяти процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20634: George Karchemsky (@gkarchemsky) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative

Kernel

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20654: Jian Lee (@speedyfriend433)

Kernel

Воздействие. Вредоносное приложение может получать привилегии пользователя root.

Описание. Проблема устранена путем улучшения проверок.

CVE-2026-20626: Keisuke Hosoda

Kernel

Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может перехватывать сетевой трафик.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20671: Xin'an Zhou, Juefei Pu, Zhutian Liu, Zhiyun Qian, Zhaowei Tan, Srikanth V. Krishnamurthy, Mathy Vanhoef

LaunchServices

Воздействие. Приложение может перечислять установленные пользователем приложения.

Описание. Проблема устранена путем удаления из журналов информации, не подлежащей разглашению.

CVE-2026-20663: Zhongcheng Li из отдела IES Red

libexpat

Воздействие. Обработка вредоносного файла может приводить к отказу в обслуживании.

Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительная информация о проблеме и идентификаторе CVE-ID приведена на сайте cve.org.

CVE-2025-59375

libxpc

Воздействие. Приложение может выходить за границы песочницы.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2026-20667: анонимный исследователь

Live Captions

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20655: Richard Hyunho Im (@richeeta) из Route Zero Security (routezero.security)

Messages

Воздействие. Быстрая команда может обойти ограничения изолированной среды.

Описание. Условие состязания устранено путем улучшения обработки символических ссылок.

CVE-2026-20677: Ron Masas из BreakPoint.SH

Photos

Воздействие. Пользователь, у которого есть физический доступ к устройству iOS, может получить доступ к фотографиям с экрана блокировки.

Описание. Устранена проблема, связанная с проверкой ввода.

CVE-2026-20642: Dalibor Milanovic

Sandbox

Воздействие. Приложение может выходить за границы песочницы.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2026-20628: Noah Gregory (wts.dev)

Sandbox Profiles

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20678: Óscar García Pérez, Stanislav Jelezoglo

Screenshots

Воздействие. Злоумышленник может обнаружить удаленные заметки пользователя.

Описание. Проблема с логикой устранена путем улучшенного управления состояниями.

CVE-2026-20682: Viktor Lord Härringtón

Shortcuts

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема анализа при обработке путей к каталогам устранена путем улучшенной проверки путей.

CVE-2026-20653: Enis Maholli (enismaholli.com)

Spotlight

Воздействие. Приложение в изолированной среде может получать доступ к конфиденциальным данным пользователя.

Описание. Проблема устранена путем ввода дополнительных ограничений на возможность отслеживать состояния приложений.

CVE-2026-20680: анонимный исследователь

StoreKit

Воздействие. Приложение может выявлять другие приложения, установленные пользователем.

Описание. Проблема с конфиденциальностью устранена путем улучшения проверок.

CVE-2026-20641: Gongyu Ma (@Mezone0)

UIKit

Воздействие. Приложение может обходить определенные настройки конфиденциальности.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2026-20606: LeminLimez

UIKit

Воздействие. Злоумышленник с физическим доступом к iPhone может делать и просматривать скриншоты конфиденциальных данных с iPhone при использовании функции «Видеоповтор iPhone» на Mac.

CVE-2026-20640: Jacob Prezant (prezant.us)

VoiceOver

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2026-20661: Dalibor Milanovic

WebKit

Воздействие. Удаленный злоумышленник может вызывать отказ в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

WebKit Bugzilla: 303959

CVE-2026-20652: Nathaniel Oh (@calysteon)

WebKit

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

WebKit Bugzilla: 303357

CVE-2026-20608: HanQing из TSDubhe и Nan Wang (@eternalsakura13)

WebKit

Воздействие. Веб-сайт может отслеживать пользователей через веб-расширения Safari.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

WebKit Bugzilla: 305020

CVE-2026-20676: Tom Van Goethem

WebKit

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

WebKit Bugzilla: 303444

CVE-2026-20644: HanQing из TSDubhe и Nan Wang (@eternalsakura13)

WebKit Bugzilla: 304657

CVE-2026-20636: EntryHi

WebKit Bugzilla: 304661

CVE-2026-20635: EntryHi

Wi-Fi

Воздействие. Приложение может вызывать неожиданное завершение работы системы или повреждать память ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2026-20621: Wang Yu из CyberServal

Дополнительные благодарности

Accessibility

Выражаем благодарность за помощь пользователю Himanshu Bharti (@Xpl0itme) из Khatima.

Bluetooth

Выражаем благодарность за помощь пользователю Tommaso Sacchetti.

Contacts

Выражаем благодарность за помощь пользователю Atul Kishor Jaiswal.

Kernel

Выражаем благодарность за помощь пользователям Joseph Ravichandran (@0xjprx) из MIT CSAIL, Xinru Chi из Pangu Lab.

libpthread

Выражаем благодарность за помощь пользователю Fabiano Anemone.

Managed Configuration

Выражаем благодарность за помощь пользователю kado.

NetworkExtension

Выражаем благодарность за помощь пользователю Gongyu Ma (@Mezone0).

Shortcuts

Выражаем благодарность за помощь пользователю Robert Reichel.

Transparency

Выражаем благодарность за помощь Wojciech Regula из SecuRing (wojciechregula.blog).

Wallet

Выражаем благодарность за помощь пользователям Aaron Schlitt (@aaron_sfn) из Института им. Хассо Платтнера, исследовательской группы «Кибербезопасность — мобильная и беспроводная связь», Jacob Prezant (prezant.us), Lorenzo Santina (@BigNerd95) и Marco Bartoli (@wsxarcher).

WebKit

Выражаем благодарность за помощь пользователям David Wood, EntryHi, Luigino Camastra из Aisle Research, Stanislav Fort из Aisle Research, Vsevolod Kokorin (Slonser) из Solidlab и Jorian Woltjer.

Widgets

Выражаем благодарность за помощь пользователям Marcel Voß и Serok Çelik.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.

Дата публикации: 16 февраля 2026 г.