Ausgenutzte CoreGraphics-Schwachstelle auf älteren iPhones und iPads behoben
Die CoreGraphics-Schwachstelle, eine Schwäche in Apples Framework zur Grafikverarbeitung, wurde nun durch iOS 18.7.11 und iPadOS 18.7.11 auch auf weiteren älteren iPhones und iPads behoben. Apple veröffentlichte die Updates am Montag als backport. Das bedeutet, dass eine ursprünglich für neuere Software bereitgestellte Sicherheitskorrektur für ältere unterstützte Versionen angepasst wurde. Laut Apple könnte die Schwachstelle bei einem äußerst ausgefeilten Angriff gegen gezielt ausgewählte Personen eingesetzt worden sein.
Die als CVE-2026-86950 erfasste Schwachstelle mit hohem Schweregrad hat im Common Vulnerability Scoring System (CVSS) eine Bewertung von 8,8 auf der üblichen Zehn-Punkte-Skala. Es handelt sich um einen out-of-bounds write, also einen Fehler, durch den Software Daten außerhalb des dafür vorgesehenen Speicherbereichs ablegen kann. Die Verarbeitung einer bösartig präparierten Datei könnte daher zu arbitrary code execution führen. Das bedeutet, dass die Datei das Gerät dazu bringen könnte, von einem Angreifer ausgewählte Befehle auszuführen.
Apple behob CVE-2026-86950 erstmals im vergangenen Monat in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1. Damals bestätigte das Unternehmen einen Bericht, wonach die Schwachstelle möglicherweise bei Angriffen auf ausgewählte Personen ausgenutzt worden war, die frühere Versionen als iOS 27 verwendeten. Apple hat weder einen Angreifer benannt noch weitere Informationen zu den bösartigen Dateien, den betroffenen Personen oder der Angriffsmethode bereitgestellt. Diese Einzelheiten bleiben daher unbekannt.
Die erweiterten Korrekturen in iOS 18.7.11 und iPadOS 18.7.11 gelten für iPhone XS, iPhone XS Max und iPhone XR. Als unterstützte Tablets werden für die Updates das iPad der 7. Generation, das iPad Air der 4. Generation und neuer, das iPad der 9. Generation und neuer sowie das iPad mini der 6. Generation und neuer aufgeführt. Besitzer dieser Geräte sollten über die Einstellungen für Softwareupdates das neueste für ihr Gerät angebotene Update installieren, statt davon auszugehen, dass ein älteres Modell nicht mehr in den Patch-Zyklus fällt.
Die beiden Updates beheben außerdem separate Datenschutz- und Sicherheitsschwächen. CVE-2026-65339 ist ein Logikfehler in Audio, durch den eine App vertrauliche Benutzerinformationen offenlegen könnte. CVE-2026-86990 ist eine Schwachstelle in der Zugriffskontrolle von CoreMedia, Apples Framework zur Medienverarbeitung, durch die eine bösartige App die Kamera ohne Erlaubnis des Benutzers verwenden könnte. Die Quelle gibt nicht an, dass eine dieser beiden Schwachstellen bei realen Angriffen ausgenutzt wurde.
Neben den per backport bereitgestellten Patches veröffentlichte Apple auch iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 und Safari 27.2. Diese Versionen beheben Hunderte von Schwachstellen in Komponenten wie AppleAVD, CoreAudio, ImageIO, dem kernel, also dem zentralen Teil eines Betriebssystems, Model I/O, Screen Sharing Server, Spotlight, StorageKit und WebKit.
Ein bemerkenswertes Problem in diesem größeren Paket ist CVE-2026-86987, eine Autorisierungsschwäche in Apple Intelligence. Laut Apple könnte ein entfernter Angreifer sie ausnutzen, um vertrauliche Benutzerdaten zu erlangen. Das Unternehmen behob das Problem in iOS und iPadOS durch verbesserte entitlement checks, also Kontrollen, mit denen geprüft wird, ob Software eine geschützte Funktion oder Ressource verwenden darf. Apple hat keine Hinweise darauf gegeben, dass diese Schwachstelle oder die anderen Fehler in den Versionen 27.2 bei realen Angriffen ausgenutzt wurden.
Für Websitebetreiber und IT-Teams besteht die praktische Bedeutung darin, dass Smartphones und Tablets, die für Administration, Kommunikation oder den Zugriff auf Unternehmenssysteme verwendet werden, weiterhin zeitnah gewartete Betriebssysteme benötigen. Unternehmen, die Unterstützung bei dieser umfassenderen Aufgabe suchen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Für betroffene Benutzer hat die Installation des verfügbaren Betriebssystemupdates unmittelbar Priorität, da CVE-2026-86950 bereits mit realen Angriffen in Verbindung gebracht wurde und durch die Verarbeitung von Dateien ausgelöst werden kann.