Wenige Stunden nach der Freigabe hat Apple die Dokumentation nachgereicht. 29 Schwachstellen sind behoben, mehr als zwei Drittel davon in der Browser-Engine. Eine Lücke geht auf eine Forschergruppe aus Bochum zurück, neun Funde stammen von OpenAI.
Das Sicherheitsupdate war am Abend des 17. August erschienen, zunächst ohne Angaben zum Inhalt. Inzwischen liegen die Sicherheitshinweise vor – und sie erklären nebenbei, warum die Aktualisierung eine Woche lang nur über den Entwicklerkanal lief. Zum Vergleich: Das große Update iOS 26.6 hatte im Juli 78 Lücken geschlossen.
Das Wichtigste in Kürze
- Apple listet in den Sicherheitshinweisen zu iOS 26.6.1 29 Schwachstellen mit eigener CVE-Kennung.
- 21 davon betreffen WebKit und dessen Teilbereiche – also die Engine hinter Safari und jedem Browser auf dem iPhone.
- Eine Lücke im Mobilfunk-Bereich meldeten vier Forschende der Ruhr-Universität Bochum.
- Neun Einträge werden dem Sicherheitsteam von OpenAI zugeschrieben.
- Apple schreibt selbst, dass die Korrekturen zuerst in den Betas von iOS 27 verfügbar waren.
WebKit dominiert die Liste
Die Verteilung ist eindeutig. Von 29 Einträgen entfallen 19 auf WebKit, dazu je einer auf WebKit History und WebKit Storage – zusammen 21 und damit 72 Prozent der gesamten Liste.
| Komponente | Anzahl |
|---|---|
| WebKit | 19 |
| Kernel | 3 |
| ImageIO | 2 |
| WebKit History | 1 |
| WebKit Storage | 1 |
| Audio | 1 |
| IOGPUFamily | 1 |
| Telephony | 1 |
Die meisten WebKit-Einträge beschreiben denselben Ablauf: Präparierte Webinhalte bringen Safari zum Absturz oder beschädigen den Speicher. Drei Kernel-Lücken gehen weiter – dort kann ein Programm im ungünstigsten Fall Kernspeicher auslesen oder beschädigen, in einem Fall genügt dafür ein Angreifer aus der Ferne.
Praktisch bedeutet das: Der gefährlichste Weg ins System führt über den Browser, und weil auf iPhone und iPad jeder Browser auf WebKit aufsetzt, hilft dagegen kein Wechsel zu Chrome oder Firefox. Nur das Update hilft.
Eine Lücke aus Bochum
Ein Eintrag sticht heraus, weil er nicht den Browser betrifft. Unter Telephony beschreibt Apple eine Schwachstelle, über die ein Angreifer in privilegierter Netzwerkposition die IPSec-Authentifizierung umgehen und Netzwerkverkehr mitlesen konnte. Behoben wurde sie durch eine verbesserte Zustandsverwaltung.
Gemeldet haben sie Bedran Karakoc, Tobias Funke, Jacopo Clark und Katharina Kohls von der Ruhr-Universität Bochum. Die Lücke betrifft ausschließlich iPhones ab dem iPhone 11, nicht das iPad – iPads ohne Mobilfunkmodul sind von der Telefoniekomponente nicht betroffen.
Eine privilegierte Netzwerkposition setzt voraus, dass jemand den Datenweg bereits kontrolliert, etwa über ein manipuliertes WLAN oder eine gefälschte Mobilfunkzelle. Für Reisende und Nutzer öffentlicher Netze ist das keine theoretische Konstellation.
Neun Funde kommen von OpenAI
Auffällig ist ein Name, der in der Liste immer wieder auftaucht: Neun der 29 Einträge schreibt Apple der Sicherheitsabteilung von OpenAI zu, konkret dem hauseigenen Codex-Werkzeug und der Forscherin Amy Burnett. Alle neun betreffen WebKit.
Damit setzt sich fort, was seit dem Frühjahr sichtbar wird. Im Mai hatte bereits ein KI-System Schwachstellen in macOS aufgedeckt, und Ende Juni wurde bekannt, dass Apple seine Sicherheitsupdates wegen KI-gestützter Angriffe vorzieht. Beide Seiten rüsten mit denselben Werkzeugen auf: Wer automatisiert Fehler findet, kann sie melden oder ausnutzen.
Für die Bewertung dieses Updates heißt das vor allem eines. Ein Bestand an Lücken, den ein Werkzeug in Serie aufdeckt, lässt sich mit demselben Werkzeug auch von der anderen Seite aufdecken. Die Zeitspanne zwischen Veröffentlichung und eigener Installation wird dadurch kürzer bewertet als noch vor zwei Jahren.
Warum das Update aus den iOS-27-Betas stammt
Apple stellt der Liste einen Satz voran, der den ungewöhnlichen Weg dieses Updates erklärt: Die Korrekturen waren zuerst in den Betas von iOS 27 und iPadOS 27 verfügbar. Sie wurden also nicht für die 26er-Generation entwickelt, sondern aus dem laufenden Entwicklungszweig zurückportiert.
Das passt zum Ablauf der vergangenen Woche. Ein Rückportieren erklärt sowohl den kurzfristigen Bereitstellungsversuch am 10. August als auch die anschließende zusätzliche Testrunde im Entwicklerkanal.
Für Nutzer der Vorabversionen ergibt sich daraus eine praktische Folge: Wer bereits auf iOS 27 Beta unterwegs ist, hat diese Korrekturen längst. Alle anderen bekommen sie mit iOS 26.6.1 nachgereicht – und zwar mehrere Wochen vor der finalen Version.
Was jetzt zu tun ist
Die Liste enthält keinen Hinweis darauf, dass eine der Lücken bereits aktiv ausgenutzt wurde – Apple kennzeichnet solche Fälle sonst ausdrücklich. Das nimmt etwas Druck, ändert aber nichts an der Reihenfolge: Ab dem Moment der Veröffentlichung sind die Beschreibungen für jeden nachlesbar, inklusive der betroffenen Komponente und der Art des Fehlers.
Parallel dokumentiert sind macOS Tahoe 26.6.2 und iOS 18.7.10 für ältere Geräte. Die Hinweise zu visionOS 26.6.1 hat Apple zum Zeitpunkt der Veröffentlichung noch nicht bereitgestellt. Wie Apples Sicherheitsupdates aufgebaut sind, erklären wir gesondert.
Für dich heißt das: Wenn du das Update heute Abend übersprungen hast, hol es nach. Bei 21 Browser-Lücken reicht ein Besuch auf einer präparierten Seite als Angriffsweg – und das ist der Weg, den man am wenigsten kontrollieren kann.
Achtest du bei einem Sicherheitsupdate darauf, welche Komponenten betroffen sind, oder installierst du ohnehin alles, sobald es erscheint? Schreib uns in die Kommentare, ob dich so eine Liste überhaupt interessiert.
- iOS 26.6.1 ist da: Apple holt die finale Freigabe nach
- iOS 27 Beta 6: Apple biegt auf die Zielgerade ein
- App-Tracking: Apple muss die Abfrage in Deutschland umbauen
