Apple rolt beveiligingsupdates uit voor iOS en iPadOS die een hele reeks kwetsbaarheden dichten. Het gaat vooral om fouten in geheugenbeheer (zoals use-after-free en buffer overflows), out‑of‑bounds reads/writes, integer overflows, race conditions en slordige invoercontroles. In het slechtste geval konden apps crashen, gevoelige gegevens uitlekken of zelfs willekeurige code uitvoeren en sandbox‑beperkingen omzeilen. Met de nieuwste patches zijn deze gaten aangepakt en zijn validatie, geheugenbeheer en beveiligingschecks merkbaar aangescherpt. Op 27 juli 2026 verscheen iOS/iPadOS 26.6, gevolgd door 26.6.1 op 17 augustus 2026 met aanvullende fixes. Installeer die updates dus direct. (support.apple.com)

Wat springt eruit

• Grote schoonmaak in WebKit: kwaadaardig vormgegeven webcontent kon voor crashes zorgen, data prijsgeven of veiligheidsmechanismen in de browser omzeilen. Zulke WebKit‑bugs zijn eerder dit jaar ook in de Linux/GTK‑variant (WebKitGTK) opgelost, waaronder issues waarbij websites buiten de sandbox om “beschermde” content konden verwerken. Dat soort gaten staat bekend om datalekken en sandbox escapes, precies het soort misbruik dat je niet in je browser wilt. (webkitgtk.org)
• Veelzijdige iOS/iPadOS‑patchronde: Apple repareerde in de 26.6‑update tientallen kwetsbaarheden verspreid over kernel, Wi‑Fi, Game Center, ImageIO en meer. Denk aan bugs die root‑rechten konden opleveren, kernelgeheugen konden corrumperen of bestanden buiten de sandbox lieten lezen. Het ging om ruim 75 fixes op iPhone en iPad alleen al. (9to5mac.com)
• Let op libcurl in de keten: in libcurl zat een bug (CVE‑2026‑3783) waardoor OAuth2 bearer tokens konden lekken naar een tweede host bij HTTP(S)‑redirects als een .netrc‑bestand meedeed. Dat is upstream verholpen in curl/libcurl 8.19.0. Hoewel iOS zelf geen libcurl gebruikt voor netwerkverkeer, bouwen veel apps en backend‑diensten er wél op — en dát raakt uiteindelijk ook mobiele gebruikers. (curl.se)

Waarom dit nú belangrijk is

• Zodra details van kwetsbaarheden openbaar zijn, neemt het risico op misbruik toe. Het Nederlandse NCSC riep organisaties op om iPhones en iPads zo snel mogelijk te updaten, juist omdat meerdere CVE’s samen een aantrekkelijk aanvalspad vormen. (ncsc.nl)
• Een deel van de WebKit‑problemen raakt meerdere platformen. Updates voor Safari en andere WebKit‑ports komen doorgaans in hetzelfde tijdsvenster beschikbaar. Wie alleen zijn iPhone bijwerkt maar Mac of Linux‑systemen vergeet, laat alsnog een achterdeur openstaan. (webkitgtk.org)

Praktisch aan de slag

• Update meteen naar iOS/iPadOS 26.6.1 (uitgebracht op 17 augustus 2026). Ga naar Instellingen > Algemeen > Software-update. Controleer daarna of automatische updates aanstaan. (support.apple.com)
• Werk ook andere Apple‑platformen bij (macOS, watchOS, tvOS, visionOS) en Safari, zodat WebKit‑lekken overal zijn gedicht. (support.apple.com)
• Voor teams en ontwikkelaars:
  • Upgrade libcurl/libcurl‑afhankelijke componenten naar 8.19.0 of nieuwer. Vermijd waar mogelijk de combinatie bearer tokens + redirects + .netrc (zeker met “default”). (curl.se)
  • Gebruik de meest recente WebKitGTK‑release (≥ 2.52.5/2.52.6) in Linux‑omgevingen; daarin zijn meerdere sandbox‑ en geheugenlekken opgelost. (webkitgtk.org)
  • Review app‑rechten en sandbox‑regels. Een deel van de iOS‑fixes ging juist over het misbruiken van machtigingen en het lezen van bestanden buiten de sandbox. (9to5mac.com)

Kort gezegd: deze update‑ronde draait om het dichtschuiven van ketenrisico’s — van de browserengine tot veelgebruikte netwerkbibliotheken. Door je apparaten en gebruikte software (ook server‑ en CI‑componenten) bij te werken, haal je het grootste deel van de nieuwe aanvalsvectoren in één moeite weg. (9to5mac.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.