Apple-Updates: 329 Schwachstellen geschlossen, darunter eine aktiv genutzte Zero-Day-Lücke

Das indische IT-Ministerium hat über sein Computer Emergency Response Team CERT-In eine Warnung mit hoher Risikoeinstufung für zahlreiche Apple-Produkte herausgegeben. Betroffen sind zentrale Systemkomponenten wie WebKit, der Kernel sowie diverse Medien-Frameworks.

Nach Angaben der Behörde ermöglichen die Schwachstellen unter anderem die Ausführung von Schadcode aus der Ferne, die Ausweitung von Berechtigungen, das Offenlegen sensibler Daten sowie Denial-of-Service-Zustände und das Umgehen von Sicherheitsvorkehrungen.

Zahlreiche Betriebssysteme und Gerätegenerationen betroffen

Nach Einstufung von CERT-In gelten die Sicherheitsrisiken für eine breite Palette von Softwareversionen. Dazu zählen Safari vor Version 27.2, macOS Sequoia vor Version 15.8.2, macOS Tahoe vor Version 26.7.2 sowie macOS Golden Gate vor Version 27.2. Im mobilen Bereich sind iOS und iPadOS in den Versionen vor 18.7.11, vor 26.7.2 sowie vor 27.2 betroffen. Zudem betreffen die Risiken watchOS, tvOS und visionOS jeweils vor Version 27.2.

Die Ursachen der Schwachstellen liegen nach behördlichen Angaben unter anderem in Speicherkorruption, Pufferüberläufen, Use-after-free-Fehlern sowie Problemen in WebKit und Medien-Frameworks. Als Angriffsvektoren dienen speziell präparierte Webinhalte, Dateien, Bilder, Audiodateien, Videos und Schriftarten.

Apple stellte umfassende Updates am 26. Oktober bereit

Apple veröffentlichte am 26. Oktober 2026 umfangreiche Softwareaktualisierungen, um die Einfallstore zu schließen. Die Veröffentlichungen umfassen iOS und iPadOS 18.7.11, 26.7.2 und 27.2, macOS Golden Gate 27.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 sowie Aktualisierungen für tvOS, watchOS, visionOS und Safari 27.2.

Die Aktualisierungen schließen laut unabhängigen Zählungen mindestens 329 einzigartige Schwachstellen, was summiert 1.265 CVE-Einträgen entspricht. Allein in iOS und macOS 27.2 wurden 286 Schwachstellen behoben. macOS Golden Gate 27.2 schließt 263 Lücken und iOS sowie iPadOS 27.2 beheben 163 Schwachstellen, wobei rund 140 gemeinsam auftreten.

Viele iPhone-Nutzer übersehen nach einem Software-Update wichtige Sicherheitseinstellungen, was die Privatsphäre gefährden kann. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. iOS-Updates sicher installieren und konfigurieren

Für macOS Tahoe 26.7.2 wurden 213 Lücken geschlossen, für macOS Sequoia 15.8.2 sind es 197 und für iOS sowie iPadOS 26.7.2 wurden 134 Schwachstellen behoben.

Für visionOS 27.2 listet der Hersteller 125 behobene Lücken auf, für tvOS 27.2 sind es 72, für watchOS 27.2 insgesamt 62 und für Safari 27.2 wurden 33 Schwachstellen adressiert. Für tvOS 26.6.1 wurde zudem die Unterstützung für die vierte Generation der Siri Remote auf älteren Generationen von Apple TV eingeführt.

Zero-Day-Lücke in CoreGraphics aktiv ausgenutzt

Besondere Aufmerksamkeit widmen die Sicherheitsbehörden der Schwachstelle CVE-2026-86950 in der Komponente CoreGraphics, die von Metas Product-Security-Team entdeckt wurde. Dabei handelt es sich um einen Schreibzugriff außerhalb der Speichergrenzen im Bereich der Glyphen-Rasterisierung, der mit einem CVSS-Wert von 8,8 bewertet wird.

Wer angesichts komplexer Systemaktualisierungen unsicher ist, findet in der verständlichen Schritt-für-Schritt-Methode für Einsteiger wertvolle Unterstützung. Erfahren Sie in diesem Gratis-Guide, wie Sie Updates ohne Datenverlust und Stress durchführen. Kostenlosen Ratgeber für sichere Updates herunterladen

Wie das französische CERT Santé festhält, ist für einen Angriff über das Netzwerk keine Berechtigung erforderlich, wohl aber eine Nutzerinteraktion. Ein Proof-of-Concept liegt öffentlich vor.

Apple zufolge wurde diese Schwachstelle bereits in extrem ausgefeilten, gezielten Angriffen gegen bestimmte Personen mit iOS-Versionen vor Version 27 ausgenutzt. Es handelt sich um die zweite im Jahr 2026 aktiv ausgenutzte Zero-Day-Lücke nach CVE-2026-20700 im dynamischen Linker dyld, die im Februar 2026 behoben worden war.

Nachdem Apple am 28. September 2026 erste Aktualisierungen für neuere Plattformen lieferte und CERT-In am 1. Oktober 2026 ein erstes Advisory veröffentlichte, rückte der Fix mit dem Update iOS und iPadOS 18.7.11 am 26. Oktober 2026 auch für ältere Hardware nach.

Betroffen sind davon unter anderem iPhone XS, iPhone XS Max, iPhone XR sowie ausgewählte Generationen des iPads. Neben CERT-In warnten am 27. Oktober 2026 auch die marokkanische DGSSI sowie das HKCERT in Hongkong vor den Risiken und mahnten die zügige Installation der bereitgestellten Systemaktualisierungen an.