Apple aktualisiert macOS, iOS und iPadOS: Dutzende Schwachstellen in WebKit, Kernel und Netzwerk

Ein neuer Patch-Zyklus für Apple-Systeme

Apple hat am 18. August 2026 neue Sicherheitsupdates für macOS, iOS und iPadOS veröffentlicht. Die meisten Maßnahmen betreffen WebKit, die Grundlage von Safari. Die Korrekturen schließen jedoch auch Schwachstellen in Systemkomponenten, die auf Speicher, Kommunikation und den Kernel zugreifen.

Zu den beschriebenen Auswirkungen zählen Abstürze, Speicherbeschädigung, die Offenlegung vertraulicher Informationen, eine Umgehung der Sandbox, der Datenabfluss zwischen verschiedenen Ursprüngen sowie die Ausführung beliebigen Codes. Einige Schwachstellen können außerdem den Kernel-Speicher beeinträchtigen oder den Zugriff auf vertrauliche Benutzerdaten ermöglichen.

Apple hat nicht erklärt, dass diese Fehler bereits bei realen Angriffen ausgenutzt wurden. Das Fehlen einer solchen Bestätigung mindert jedoch nicht die Priorität der Updates: WebKit ist beim Surfen dem Internet ausgesetzt, während Kernel- und Netzwerkkomponenten auf privilegierten Systemebenen arbeiten.

macOS Tahoe 26.6.2 behebt 28 Schwachstellen

Das Update macOS Tahoe 26.6.2 behebt insgesamt 28 Schwachstellen. Davon betreffen 21 WebKit und können Safari oder zugehörige Prozesse zum Absturz bringen, Speicher beschädigen und vertrauliche Informationen offenlegen.

Ein Speicherfehler in einer Rendering-Engine kann besonders gefährlich werden, wenn er über eine Webseite, eingebettete Inhalte oder manipulierte Werbung erreicht wird. Das Briefing nennt keine konkrete Angriffskette und bestätigt auch nicht, dass diese Schwachstellen automatisch zur Codeausführung führen können. Die beschriebenen Auswirkungen sind jedoch mit Szenarien vereinbar, die über einen einfachen Browserabsturz hinausgehen.

Die sieben übrigen Schwachstellen betreffen Audio, ImageIO, IOGPUFamily und den Kernel. Zu den möglichen Auswirkungen zählen:

• Offenlegung von Informationen;
• Denial of Service;
• Ausführung beliebigen Codes;
• Speicherbeschädigung;
• Beendigung oder Instabilität des Systems;
• Offenlegung oder Manipulation von Kernel-Speicher.

Kernel und IOGPUFamily sind besonders kritische Komponenten, da sie zentrale Funktionen des Betriebssystems und der Hardware verwalten. Ein erfolgreicher Angriff auf dieser Ebene könnte umfassendere Möglichkeiten eröffnen als die Kompromittierung einer einzelnen Anwendung.

iOS 26.6.1 und iPadOS 26.6.1 beheben zusätzlich eine Telephony-Schwachstelle

iOS 26.6.1 und iPadOS 26.6.1 enthalten dieselben 28 Korrekturen wie macOS Tahoe 26.6.2. Die Mobilgeräte erhalten zusätzlich einen Patch für die Komponente Telephony.

Die Schwachstelle könnte es ermöglichen, die IPSec-Authentifizierung zu umgehen und Netzwerkverkehr abzufangen. IPSec schützt die Kommunikation durch Authentifizierung und Verschlüsselung. Wird die Authentizitätsprüfung umgangen, kann der Datenverkehr je nach Konfiguration und Einsatzumgebung abgefangen oder manipuliert werden.

Das Briefing nennt weder die betroffenen iPhone- oder iPad-Modelle noch die für eine Ausnutzung erforderlichen Bedingungen. Daher lässt sich nicht feststellen, ob ein Angriff den Zugriff auf das lokale Netzwerk, eine privilegierte Position oder andere besondere Voraussetzungen erfordert.

Diese Versionen scheinen außerdem den Übergang zu den nächsten Hauptversionen von iOS und iPadOS vorzubereiten, die im kommenden Monat erwartet werden. Für Nutzer, die bei Version 26 bleiben, ist das Sicherheitsupdate dennoch der vorgesehene Weg, um die bereits veröffentlichten Schwachstellen zu beheben.

Die iOS-18-Reihe erhält mehr als 120 Korrekturen

Apple hat außerdem iOS 18.7.10 und iPadOS 18.7.10 für Geräte veröffentlicht, auf denen die vorherige Generation der mobilen Betriebssysteme läuft. In diesem Fall werden mehr als 120 Schwachstellen behoben, darunter über 40 Probleme in WebKit.

Zu den Auswirkungen zählen Abstürze, Speicherbeschädigung, die Offenlegung von Daten, das Verlassen der Sandbox und der Abfluss von Informationen zwischen verschiedenen Ursprüngen. Letzteres bezeichnet die Möglichkeit, auf Daten aus getrennten Webkontexten zuzugreifen – eine Verletzung der Grenzen, die verhindern sollen, dass eine Webseite beliebig die Informationen einer anderen ausliest.

Die Sandbox beschränkt die Aktionen, die ein Prozess selbst nach einer Kompromittierung ausführen kann. Eine Sandbox-Umgehung kann eine auf den Browser begrenzte Schwachstelle daher in ein umfassenderes Problem verwandeln, insbesondere wenn dadurch der Zugriff auf Dateien, Prozesse oder Dienste möglich wird, die eigentlich isoliert bleiben sollten.

Die Updates der iOS-18-Reihe beheben außerdem 18 Kernel-Schwachstellen. Einige davon können die Beschädigung oder das Überschreiben von Kernel-Speicher ermöglichen, einen Systemabsturz verursachen, sensible Kernel-Daten und -Zustände offenlegen, Netzwerkfilter umgehen oder den Zugriff auf vertrauliche Benutzerdaten erlauben.

Ebenfalls betroffen sind Accessibility, AirDrop, App Store, AVEVideoEncoder, Contacts, CoreAudio, CoreMedia, Foundation, IOSkywalkFamily, Maps, MediaRemote, Model I/O, SceneKit, Siri und WebRTC. Für einige der übrigen Komponenten liegen nicht genügend technische Details vor, um den Angriffsweg zu rekonstruieren.

Der KEV-Katalog und der aktuelle Ausnutzungsstatus

Es ist nicht bekannt, ob eine oder mehrere Schwachstellen dieses Patch-Zyklus in den Katalog Known Exploited Vulnerabilities der CISA aufgenommen wurden. Daher liegen weder ein Aufnahmedatum noch eine konkrete Frist vor, innerhalb derer Organisationen die Maßnahmen gemäß diesem Katalog abschließen müssten.

Apple erklärt außerdem nicht, dass die Fehler bereits bei realen Angriffen ausgenutzt wurden. Nach den verfügbaren Informationen sind keine Indicators of Compromise, keiner bestimmten Gruppe zugeschriebenen Kampagnen oder öffentlichen Exploits bekannt, die mit diesen Korrekturen in Verbindung stehen.

Ebenso ist nicht bekannt, ob Apple in letzter Zeit bereits andere Einträge im KEV-Katalog hatte. Dadurch lässt sich dieses Update nicht in eine dokumentierte Reihe aktiv ausgenutzter Apple-Schwachstellen einordnen.

Das Fehlen eines KEV-Eintrags stellt dennoch keine positive Sicherheitsbewertung dar. Kombinationen aus Codeausführung, Zugriff auf sensible Daten, Sandbox-Umgehung und einer Kompromittierung des Kernels erfordern eine priorisierte Behandlung – insbesondere auf Geräten, die beruflich genutzt werden oder mit nicht vertrauenswürdigen Netzwerken verbunden sind.

Was Nutzer und Administratoren tun sollten

Nutzer sollten ohne Verzögerung die für ihr Gerät verfügbare Version installieren:

• macOS Tahoe 26.6.2;
• iOS 26.6.1;
• iPadOS 26.6.1;
• iOS 18.7.10;
• iPadOS 18.7.10.

Die Prüfung kann über die Systemeinstellungen für Softwareupdates erfolgen. In Unternehmensumgebungen sollten Administratoren die Verteilung über die Geräteverwaltung kontrollieren und zunächst Endgeräte aktualisieren, die häufig im Web surfen, sensible Daten verarbeiten oder auf öffentliche und nicht vertrauenswürdige Netzwerke zugreifen.

Vor der Installation sollte geprüft werden, ob Backups verfügbar sind und ob die Unternehmensanwendungen mit der vorgesehenen Version kompatibel sind. Auf spezifische Workarounds sollte man sich hingegen nicht verlassen: Es wurden keine alternativen Maßnahmen bekannt gegeben, die die Patches ersetzen könnten.

Bis zum Abschluss der Updates ist es ratsam, den Besuch nicht vertrauenswürdiger Webseiten und das Öffnen von Inhalten aus unbekannten Quellen einzuschränken. Diese Maßnahmen verringern die Angriffsfläche, beheben die Schwachstellen jedoch nicht. Wirksamer Schutz besteht weiterhin in der Installation der aktualisierten Versionen.