Apple heeft beveiligingsupdates uitgebracht voor twee kwetsbaarheden die zijn gebruikt bij 'zeer geraffineerde' aanvallen tegen de iPhones van bepaalde individuen. Wat de aanvallen geraffineerd maakt en wie het doelwit waren is niet bekendgemaakt. Eén van de kwetsbaarheden werd eerder deze week al door Google in Chrome verholpen. Google gaf toen geen details over het beveiligingslek. Zo was onbekend in welk deel van de browser de kwetsbaarheid aanwezig was en ontbrak ook een CVE-nummer.

Nu Apple het beveiligingsbulletin heeft gepubliceerd is deze informatie openbaar gemaakt. De kwetsbaarheid in Chrome is ook aanwezig in WebKit. Dit is de door Apple ontwikkelde browser-engine. Alle browsers op iOS en iPadOS zijn verplicht om van WebKit gebruik te maken. Apple stelt in de omschrijving van CVE-2025-14174, zoals de WebKit-kwetsbaarheid wordt aangeduid, dat het verwerken van malafide webcontent tot memory corruption kan leiden. Verdere informatie ontbreekt, behalve dat gebruikers van iOS 26 niet via het lek zijn aangevallen .

Google stelt over CVE-2025-14174 dat het in het geval van Chrome tot "out of bounds memory access" leidt. Deze kwetsbaarheid werd gevonden naar aanleiding van de 'zeer geraffineerde' aanval waar Apple verder geen details over geeft, behalve dat de aanval ook naar een tweede aangevallen kwetsbaarheid leidde, aangeduid als CVE-2025-43529.

CVE-2025-43529 bevindt zich ook in WebKit en kan bij het verwerken van malafide content leiden tot een use-after-free. Dit beveiligingslek was gevonden en gerapporteerd door de Google Threat Analysis Group. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers. CVE-2025-14174 is toegeschreven aan zowel Apple als Google. IPhone en iPad-gebruikers kunnen updaten naar iOS en iPadOS 18.7.3 en iOS en iPadOS 26.2. De WebKit lekken zijn ook in macOS Tahoe verholpen.