Apple устраняет две уязвимости нулевого дня, которые использовались в «сложных» атаках

Компания Apple выпустила экстренные обновления для устранения двух уязвимостей нулевого дня, которые были использованы в ходе «чрезвычайно изощрённой атаки», нацеленной на конкретных пользователей.

Уязвимости нулевого дня имеют номера CVE-2025-43529 и CVE-2025-14174 и были обнаружены в результате одной и той же атаки.

«Apple известно о сообщении, в котором говорится, что эта уязвимость могла быть использована в чрезвычайно изощрённой атаке на конкретных пользователей в версиях iOS до iOS 26», — говорится в бюллетене Apple по безопасности.

CVE-2025-43529 — это уязвимость WebKit, связанная с удалённым выполнением кода после освобождения памяти, которой можно воспользоваться для обработки вредоносного веб-контента. Apple сообщает, что уязвимость была обнаружена группой анализа угроз Google.

CVE-2025-14174 — это уязвимость, связанная с повреждением памяти в WebKit, которая может привести к повреждению памяти. Apple сообщает, что уязвимость была обнаружена группой анализа угроз Apple и Google.

К устройствам, подверженным обоим уязвимостям, относятся:

• iPhone 11 и более поздние модели
• iPad Pro 12,9 дюйма (3-го поколения и более поздние модели)
• iPad Pro 11 дюймов (1-го поколения и более поздние модели)
• iPad Air (3-го поколения и более поздние модели)
• iPad (8-го поколения и более поздние модели)
• iPad mini (5-го поколения и более поздние модели)

Компания Apple устранила уязвимости в OS 26.2 и iPadOS 26.2, iOS 18.7.3 и iPadOS 18.7.3, macOS Tahoe 26.2, tvOS 26.2, watchOS 26.2, visionOS 26.2 и Safari 26.2.

В среду компания Google устранила загадочную уязвимость нулевого дня в Google Chrome, первоначально обозначив её как «[Н/Д][466192044] Высокий уровень: в процессе согласования».

Однако теперь Google обновила рекомендации, указав, что ошибка называется «CVE-2025-14174: выход за границы памяти в ANGLE». Это та же уязвимость, которую устранила Apple, что свидетельствует о скоординированном раскрытии информации между двумя компаниями.

Apple не раскрыла технических подробностей атак, сообщив лишь, что они были нацелены на пользователей, у которых установлены версии iOS до iOS 26.

Поскольку обе уязвимости затрагивают WebKit, который используется в Google Chrome на iOS, эти действия согласуются с целенаправленными атаками шпионских программ.

Хотя эти уязвимости использовались только в ходе целенаправленных атак, пользователям настоятельно рекомендуется своевременно устанавливать последние обновления системы безопасности, чтобы снизить риск дальнейшего использования уязвимостей.

Благодаря этим исправлениям компания Apple устранила семь уязвимостей нулевого дня, которые использовались в 2025 году, начиная с CVE-2025-24085 в январе, CVE-2025-24200 в феврале, CVE-2025-24201 в марте и ещё двух в апреле (CVE-2025-31200 и CVE-2025-31201).

В сентябре Apple также выпустила исправление для уязвимости нулевого дня, отслеживаемой как CVE-2025-43300, для старых устройств под управлением iOS 15.8.5 / 16.7.12 и iPadOS 15.8.5 / 16.7.12.

Редактор: AndreyEx