Apple veröffentlicht 11 Sicherheitsupdates und behebt ausgenutzte Schwachstelle auch auf älteren iPhones

Ältere iPhones erhalten eine Fehlerbehebung gegen gezielte Angriffe

Apple hat am 26. Oktober 2026 elf Sicherheitsupdates veröffentlicht. Darunter ist eine Fehlerbehebung für eine ausgenutzte Grafikschwachstelle, die das iPhone XS, iPhone XS Max, iPhone XR und das iPad der siebten Generation betrifft. Die Updates beheben außerdem Hunderte Schwachstellen in neueren iPhones, iPads, Macs, Apple Watches, Apple TVs, Vision-Pro-Headsets und Safari.

Am dringendsten ist für Besitzer dieser älteren Geräte iOS 18.7.11 und iPadOS 18.7.11. Beide schließen CVE-2026-86950, eine Schwachstelle in CoreGraphics, die laut Apple möglicherweise bei hochgradig gezielten Angriffen auf Personen mit Versionen vor iOS 27 ausgenutzt wurde. Die Verarbeitung einer speziell präparierten Datei könnte einem Angreifer ermöglichen, Code auf einem betroffenen Gerät auszuführen.

Apple hatte die Schwachstelle bereits am 28. September in mehreren neueren Betriebssystemversionen behoben. Mit dem Oktober-Update wird der Schutz nun auch auf ältere Geräte ausgeweitet. Dafür wurde die Fehlerbehebung zurückportiert: Sie wird auf eine ältere Softwareversion übertragen, statt einen Wechsel auf das neueste Betriebssystem vorauszusetzen.

Eine weitere Sicherheitsmaßnahme betrifft kompromittierte Zertifikate der indischen Zertifizierungsstelle eMudhra. Apple hat die betroffenen Webzertifikate in Safari, Mail und Apps, die Apples Netzwerk- und Sicherheitsframeworks verwenden, automatisch gesperrt. Bei einigen Mac-Befehlszeilenwerkzeugen ist weiterhin Handlungsbedarf gegeben, da sie anhand einer anderen Datei entscheiden, welchen Zertifikaten sie vertrauen.

Welche Updates Apple veröffentlicht hat und wie sich die Zahlen zusammensetzen

Apples Übersicht der Sicherheitsupdates datiert alle elf Veröffentlichungen auf den 26. Oktober. Die Updates decken drei Generationen der iPhone- und iPad-Software, drei Mac-Betriebssysteme, zwei Apple-TV-Softwarezweige, watchOS, visionOS und Safari ab.

Die veröffentlichten Zahlen der Schwachstellen:

• iOS 27.2 und iPadOS 27.2: 163.
• iOS 26.7.2 und iPadOS 26.7.2: 134.
• iOS 18.7.11 und iPadOS 18.7.11: drei.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: keine veröffentlichten CVE-Einträge.

Insgesamt ergeben sich 1.265 Schwachstelleneinträge in den Veröffentlichungen, die für mindestens 329 unterschiedliche Schwachstellen stehen. Eine Schwachstelle kann in mehreren Updates auftauchen, weil Apple-Produkte Softwarekomponenten gemeinsam nutzen. Betrachtet man nur iOS und macOS 27.2, ergeben sich 286 unterschiedliche Schwachstellen: 163 plus 263, wobei sich rund 140 überschneiden.

Warum die CoreGraphics-Fehlerbehebung wichtig ist

CoreGraphics übernimmt Aufgaben wie das Zeichnen von Text und die Anzeige von Bildern. Bei CVE-2026-86950 handelt es sich um einen Schreibfehler außerhalb des Speicherbereichs. Das bedeutet, dass Software Informationen außerhalb des dafür reservierten Speicherbereichs ablegen kann. Ein Angreifer könnte diesen Fehler nutzen, um ein Programm zu manipulieren oder es dazu zu bringen, vom Angreifer ausgewählte Befehle auszuführen.

Die Schwachstelle wurde von Meta Product Security entdeckt. Apple, das für die betroffenen Betriebssysteme verantwortlich ist, beschrieb den Hinweis auf die Ausnutzung in seiner Sicherheitsmitteilung:

Apple ist ein Bericht bekannt, dem zufolge dieses Problem bei einem äußerst ausgeklügelten Angriff auf bestimmte Personen mit iOS-Versionen vor iOS 27 ausgenutzt worden sein könnte.

Apple beschrieb auch die technischen Auswirkungen und die Fehlerbehebung:

Die Verarbeitung einer bösartig präparierten Datei kann zur Ausführung beliebigen Codes führen. Ein Schreibfehler außerhalb des Speicherbereichs wurde durch eine verbesserte Bereichsprüfung behoben.

Bei einer Bereichsprüfung wird kontrolliert, ob ein Programm innerhalb des ihm zugewiesenen Speicherbereichs bleibt. Die Schwachstelle wurde als Zero-Day bezeichnet, weil Angreifer sie ausgenutzt hatten, bevor eine Fehlerbehebung verfügbar war. Apple meldete bei den im Oktober veröffentlichten Updates keine weiteren bekannten Fälle von Ausnutzung.

Die Fehlerbehebung wurde über mehrere Wochen hinweg in verschiedenen Softwarezweigen bereitgestellt:

• 28. September: Apple veröffentlichte Fehlerbehebungen in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1.
• 29. September: US-Behörden nahmen CVE-2026-86950 in den Katalog bekanntermaßen ausgenutzter Schwachstellen auf.
• 26. Oktober: iOS 18.7.11 und iPadOS 18.7.11 brachten die Fehlerbehebung auf die von Apple genannten älteren Geräte.

Zwischen den Veröffentlichungen im September und Oktober liegen 28 Tage. Besitzern eines iPhone XS, XS Max, XR oder iPad der siebten Generation empfiehlt sich, das für ihr Gerät angebotene Update zu installieren. Apple hat weder öffentlich mitgeteilt, wer angegriffen wurde, noch beschrieben, wie die schädlichen Dateien die Betroffenen erreichten.

Drei Fehlerbehebungen schützen ältere Geräte

iOS 18.7.11 und iPadOS 18.7.11 enthalten drei aufgeführte Fehlerbehebungen, darunter die für CoreGraphics. Die beiden anderen betreffen die Offenlegung sensibler Daten und den unbefugten Zugriff auf die Kamera.

CVE-2026-65339 betrifft das Audio-Framework und könnte sensible Nutzerdaten offenlegen. CVE-2026-86990 betrifft CoreMedia und könnte einer bösartigen App den Zugriff auf die Kamera ohne Erlaubnis des Nutzers ermöglichen. CoreMedia ist Teil der Software, mit der Apple Audio und Video verwaltet.

Apple nennt das iPhone XS, iPhone XS Max, iPhone XR und iPad der siebten Generation als mit diesen Versionen kompatibel. Die Build-Nummer lautet 22H384. Anhand dieser Kennung können Nutzer und Administratoren zusätzlich prüfen, welche Softwareversion installiert ist.

Die drei Fehlerbehebungen zeigen, warum auch ein kleines Update zeitnah installiert werden sollte. Für diese Geräte kombiniert die Veröffentlichung die Behebung einer ausgenutzten Schwachstelle mit Änderungen zum Schutz privater Daten und des Kamerazugriffs. Ein Update muss nicht Hunderte aufgeführte Fehlerbehebungen enthalten, um ernste Risiken zu verringern.

Neuere iPhones und iPads erhalten umfangreichere Fehlerbehebungen

Apples Sicherheitshinweis zu iOS beschreibt Fehlerbehebungen für Komponenten in iOS 27.2 und iPadOS 27.2, darunter CoreGraphics, CoreMedia, ImageIO und den Kernel. Der Kernel ist der zentrale Teil eines Betriebssystems, der Hardware, Speicher und den Zugriff zwischen Programmen verwaltet.

Die 163 Schwachstellen betreffen WebKit, Apples Web-Rendering-Engine, sowie Komponenten zur Verarbeitung von Bildern, Schriftarten, PDF-Dokumenten, Audio und Video. Einige könnten die Ausführung von Code ermöglichen, wenn ein Gerät schädliche Inhalte verarbeitet. Andere könnten Apps den Zugriff auf sensible Daten oder das Umgehen von Datenschutzeinstellungen erlauben.

Die Updates schließen außerdem CVE-2026-86987, eine Schwachstelle in Apple Intelligence, durch die ein Angreifer aus der Ferne auf unterstützten iPhones und iPads sensible Informationen abrufen könnte. Weitere Fehlerbehebungen verhindern Ausbrüche aus der WebContent-Sandbox, einer eingeschränkten Umgebung, die Webinhalte vom übrigen System fernhalten soll.

Weitere Fehlerbehebungen betreffen die Vortäuschung eines Kerberos-Authentifizierungsservers und den Zugriff eines Angreifers in der Nähe auf ein Thread-Netzwerk. Kerberos hilft Systemen, Identitäten zu überprüfen. Thread verbindet kompatible Geräte, darunter Smart-Home-Geräte.

iOS 27.2 unterstützt das iPhone 11 und neuere Modelle. iPadOS 27.2 unterstützt das iPad Pro mit 12,9 Zoll ab der vierten Generation, das iPad Pro mit 11 Zoll ab der zweiten Generation, das iPad Air ab der vierten Generation, das iPad ab der neunten Generation und das iPad mini ab der sechsten Generation sowie jeweils neuere Modelle. Der Zweig 26.7.2 deckt außerdem einige ältere iPads ab, darunter das iPad der achten Generation, das iPad Air der dritten Generation und das iPad mini der fünften Generation.

Mac-Fehlerbehebungen betreffen Fernzugriff und Systemsteuerung

macOS Golden Gate 27.2 weist mit 263 die höchste Zahl an einzelnen Schwachstellen auf. Die Fehlerbehebungen betreffen mehr als ein Dutzend Schwachstellen, durch die Apps Root-Zugriff erlangen könnten, also die höchste Kontrollebene auf einem Mac.

Apple behob außerdem Ausbrüche aus der Sandbox, Umgehungen von Gatekeeper und Speicherbeschädigungsfehler in Komponenten zur Verwaltung von Dateisystemen und Datenträgerabbildern. Gatekeeper überprüft heruntergeladene Software vor der Ausführung und hilft Nutzern so, nicht vertrauenswürdige Apps zu vermeiden.

Auch Bildschirmfreigabe, Fernverwaltung und SMB, ein Netzwerkprotokoll zur Dateifreigabe, erhalten Fehlerbehebungen. Einige Schwachstellen lassen sich aus der Ferne oder über das lokale Netzwerk ausnutzen. Eine Schwachstelle in der Fernverwaltung könnte einem Angreifer aus der Ferne die Ausführung von Code ermöglichen. Das Update ist daher besonders für Organisationen relevant, die Macs über ein Netzwerk verwalten.

macOS Tahoe 26.7.2 behebt 213 Schwachstellen, macOS Sequoia 15.8.2 behebt 197. Das Tahoe-Update enthält CVE-2026-43736, eine Schwachstelle in Siri, durch die eine App auf sensible Nutzerinformationen zugreifen könnte.

Safari 27.2 ist separat für macOS Sequoia und macOS Tahoe verfügbar und behebt 33 Schwachstellen. Das Update bietet Nutzern, die bei diesen Mac-Betriebssystemen bleiben, neben den jeweiligen Systemfehlerbehebungen auch eine Aktualisierung des Browsers.

Auch Uhren, Fernseher und Headsets sind betroffen

Apples Oktober-Updates gehen über Telefone und Computer hinaus. watchOS 27.2 behebt 62 Schwachstellen und unterstützt die Apple Watch Series 9 und neuere Modelle. visionOS 27.2 behebt 125 Schwachstellen und ist laut Apple mit allen Apple-Vision-Pro-Modellen kompatibel.

tvOS 27.2 behebt 72 Schwachstellen für das Apple TV 4K ab der zweiten Generation. Apple TV HD und das Apple TV 4K der ersten Generation erhalten stattdessen tvOS 26.6.1, für das Apple keine veröffentlichten CVE-Einträge aufführt.

CVE-Nummern sind öffentliche Kennungen, mit denen sich Sicherheitslücken nachverfolgen lassen. Apples Übersicht führt die Hardwarekompatibilität getrennt von diesen Kennungen auf. Deshalb ist es wichtig, beim passenden Update das genaue Gerätemodell zu prüfen. Wer zu Hause oder am Arbeitsplatz nur das Telefon aktualisiert, lässt Uhren, Fernseher, Headsets und Computer auf ihrer bisherigen Softwareversion.

Warum Apple eMudhra-Zertifikate gesperrt hat

Apples am 23. Oktober veröffentlichter Sicherheitshinweis zu eMudhra beschreibt ein separates Problem mit den privaten Schlüsseln von acht Zwischenzertifizierungsstellen, die von eMudhra betrieben werden. Sechs davon stellten TLS-Zertifikate für Websites aus, zwei Zertifikate zum Signieren von Software.

Ein Website-Zertifikat dient als Identitätsnachweis. Eine Zertifizierungsstelle signiert es, damit Software überprüfen kann, ob eine Verbindung zur erwarteten Website gehört. Wer über den privaten Schlüssel einer Zwischenzertifizierungsstelle verfügt, könnte Zertifikate erstellen, die für andere Websites gültig erscheinen.

Die eMudhra-Schlüssel wurden mit zu wenig Zufallswerten erzeugt und ließen sich dadurch anhand öffentlicher Zertifikate berechnen. Der Sicherheitsforscher Scott Helme sagte, er habe alle acht in weniger als einer Sekunde wiederhergestellt. eMudhra führte die Schwachstelle auf ein Problem bei einer Schlüsselgenerierungszeremonie am 30. April 2025 zurück und erklärte, nur eine betroffene Zwischenzertifizierungsstelle sei produktiv eingesetzt worden und keine habe Zertifikate für Endnutzer ausgestellt.

Ein Forscher meldete das Problem am 17. Oktober. Apple begann am 19. Oktober, zwölf betroffene TLS-Zertifikate zu sperren, und sperrte am 23. Oktober zusätzlich emSign ECC Root CA - G3. Es gibt zwölf TLS-Zertifikate, weil jede der sechs betroffenen TLS-Zertifizierungsstellen über zwei Zertifikatsversionen mit unterschiedlichen vertrauenswürdigen Stammzertifikaten verbunden ist. eMudhra und Sectigo widerriefen die betroffenen Zertifikate.

Auch für Chrome, Firefox und Android wurden Sperrmaßnahmen eingeführt. Softwareprojekte und Betriebssystemhersteller veröffentlichten Änderungen für ihre eigenen Zertifikatsspeicher. Eine böswillige Ausnutzung der eMudhra-Schlüssel wurde nicht bestätigt. Apples automatische Sperren wirken in Safari, Mail und Apps, die Apples Netzwerk- und Sicherheitsframeworks verwenden, ohne dass Nutzer ein Betriebssystemupdate installieren müssen.

Einige Mac-Werkzeuge erfordern noch eine separate Maßnahme

Für Mac-Administratoren und Entwickler bleibt ein enger umrissenes Problem. Einige mit macOS oder den Xcode Command Line Tools bereitgestellte Werkzeuge, darunter curl, git, python3, ruby, perl und openssl, prüfen Zertifikate anhand von /etc/ssl/cert.pem. Bei Zertifikatsketten, denen diese Datei vertraut, prüfen die Werkzeuge weder Apples Zertifikatssperre noch den Widerrufsstatus.

Apple zufolge wird ein künftiges Softwareupdate die Datei ändern; ein Veröffentlichungstermin wurde jedoch nicht genannt. Administratoren, die früher tätig werden möchten, können Apples Anleitung folgen, die Datei zu sichern und die betreffenden Stammzertifikate zu entfernen.

Das Entfernen von emSign ECC Root CA - G3 blockiert einen Vertrauenspfad. Apple weist in seiner Mitteilung darauf hin, dass die von Sectigo kreuzsignierten Zertifikate weiterhin über AAA Certificate Services akzeptiert werden können. Administratoren können daher zusätzlich dieses Stammzertifikat entfernen. Das Entfernen von Stammzertifikaten wirkt sich auf alle Werkzeuge aus, die diese Datei verwenden, und kann Verbindungen zu seriösen Websites unterbrechen, deren Zertifikate unter diesen Stammzertifikaten ausgestellt wurden.

Ein späteres macOS-Update kann /etc/ssl/cert.pem ersetzen. Administratoren, die die vorübergehende Maßnahme nutzen, sollten die Datei deshalb nach Updates prüfen, bis Apples dauerhafte Änderung verfügbar ist. Apps mit eigenen Zertifikatslisten müssen separat von ihren Entwicklern berücksichtigt werden.

Die meisten Besitzer von Apple-Geräten müssen keine Zertifikatsdateien bearbeiten. Für sie besteht die unmittelbare Aufgabe darin, die passenden Sicherheitsupdates zu installieren. Organisationen sollten außerdem Fernverwaltungsdienste, Entwicklerwerkzeuge und Apps überprüfen, die eigene Vertrauenslisten führen. Apple würdigte KI-Werkzeuge und Forschungsteams für die Entdeckung mehrerer Schwachstellen in den umfangreicheren Veröffentlichungen. Das zeigt, wie Sicherheitsprüfungen gleichzeitig Probleme in zahlreichen gemeinsam genutzten Komponenten aufdecken.

Die wichtigsten Punkte

• Apple veröffentlichte am 26. Oktober 2026 elf Sicherheitsupdates für seine wichtigsten Betriebssysteme und Safari.
• iOS 18.7.11 und iPadOS 18.7.11 bringen eine Fehlerbehebung für eine ausgenutzte CoreGraphics-Schwachstelle auf das iPhone XS, XS Max und XR sowie das iPad der siebten Generation.
• Die Veröffentlichungen enthalten 1.265 Schwachstelleneinträge, die bei gemeinsam genutzten Softwarekomponenten für mindestens 329 unterschiedliche Schwachstellen stehen.
• Die Mac-Fehlerbehebungen betreffen Schwachstellen beim Fernzugriff. Weitere Änderungen schützen sensible Daten und Kameraberechtigungen.
• Apple sperrt kompromittierte eMudhra-Webzertifikate automatisch in Safari, Mail und Apps, die Apples Sicherheitsframeworks verwenden.
• Einige Mac-Befehlszeilenwerkzeuge erfordern ein künftiges Update der Zertifikatsdatei oder eine optionale Maßnahme durch Administratoren.