Apple hat die Sicherheitsdokumentation zu iOS 26.6 und iPadOS 26.6 nachgereicht, und die fällt ungewöhnlich umfangreich aus. 78 dokumentierte Einträge stehen in der Liste, dahinter stecken 87 einzelne CVE-Nummern. Eine der geschlossenen Lücken betrifft ausgerechnet eine Funktion, die es in der EU gar nicht gibt.
Das Update selbst kam am Montag ohne große Neuerungen auf die Geräte: Die sichtbaren Änderungen an iOS 26.6 beschränken sich im Wesentlichen auf einen neu aufgebauten Spotlight-Index und einen Warnhinweis in der Kontakte-App. Das eigentliche Gewicht des Releases liegt in dem, was Apple traditionell erst nach der Freigabe veröffentlicht – der Aufstellung aller Schwachstellen, die mit dem Update verschwinden. Diese Liste liegt jetzt vor und zeigt ein Wartungs-Update, das sicherheitstechnisch alles andere als klein ist.
78 Einträge und 87 CVE-Nummern
Die beiden Zahlen unterscheiden sich, weil mehrere Einträge gleich mehrere Schwachstellen auf einmal abdecken. Ein einzelner Kernel-Eintrag bündelt allein fünf CVE-Nummern, andere jeweils zwei. Unterhalb der eigentlichen Liste führt Apple zusätzlich zwölf Danksagungen unter der Rubrik „Additional recognition“ auf – diese Einträge würdigen die Mitarbeit von Forscherinnen und Forschern, stehen aber nicht für eigene Fehlerbehebungen und tragen auch keine eigenen CVE-Nummern.
Bei keiner der 78 Positionen weist Apple darauf hin, dass die Schwachstelle vor der Behebung aktiv ausgenutzt wurde. Das unterscheidet dieses Update von Notfall-Releases, bei denen der Konzern eine laufende Ausnutzung ausdrücklich vermerkt. Alle Korrekturen greifen ab iPhone 11 sowie ab iPad Pro der dritten beziehungsweise ersten Generation, iPad Air 3, iPad 8 und iPad mini 5 – ältere Modelle erhalten iOS 26 nicht und damit auch keine dieser Behebungen.
Welche Lücken am schwersten wiegen
Aus der Liste stechen mehrere Einträge heraus, bei denen ein Angriff bis in die tiefsten Systemebenen reichen konnte. Eine Schwachstelle in MediaRemote hätte einer App Root-Rechte verschaffen können, eine Lücke in AVEVideoEncoder die Ausführung beliebigen Codes mit Kernel-Rechten. Fehler in Game Center und in libc erlaubten es einer bösartigen App, aus ihrer Sandbox auszubrechen, ein Validierungsproblem in CloudAttestation das Umgehen der Code-Signatur-Prüfung.
Auf der Datenschutzseite fällt ein Autorisierungsfehler in der Kontakte-App auf, über den eine App ohne Zustimmung neue Kontakte anlegen konnte. Ein weiterer Eintrag zu Siri behebt eine Informationspreisgabe, über die eine App an sensible Nutzerdaten gelangen konnte – Apple hat den betroffenen Code dafür vollständig entfernt.
Bilddateien und 3D-Modelle bilden den größten Block
Auffällig ist, wie stark sich die Korrekturen auf das Einlesen von Mediendateien konzentrieren. Allein sechs Einträge entfallen auf ImageIO, sieben weitere auf Model I/O und drei auf SceneKit – zusammen 16 Positionen, bei denen eine präparierte Bild-, Datei- oder 3D-Modellvorlage im schlimmsten Fall zur Ausführung beliebigen Codes oder zur Preisgabe von Prozessspeicher führen konnte. Für diesen Angriffsweg genügt es, dass ein Gerät eine Datei verarbeitet; ein bewusstes Öffnen durch die Nutzerin oder den Nutzer ist nicht zwingend nötig.
Der Kernel kommt auf 14 eigene Einträge, deren mögliche Folgen vom Beschreiben und Auslesen des Kernel-Speichers über das Umgehen von Netzwerkfiltern bis zum unerwarteten Systemabbruch reichen. WebKit steuert acht Positionen bei, dazu kommt je ein Eintrag für WebKit Canvas und WebRTC. Eine WLAN-Schwachstelle rundet das Bild ab: Ein Angreifer in unmittelbarer physischer Nähe hätte damit Prozessspeicher beschädigen können.
Ein Patch für eine Funktion, die es in der EU nicht gibt
Der erste Eintrag der gesamten Liste betrifft die Bedienungshilfen und beschreibt einen Fall, in dem ein Angreifer mit physischem Zugriff während der iPhone-Synchronisierung an sensible Daten gelangen konnte. Diese Funktion, international als iPhone Mirroring geführt, spiegelt den iPhone-Bildschirm auf den Mac und macht ihn dort per Maus und Tastatur bedienbar.
In Deutschland und Österreich kannst du sie schlicht nicht aktivieren. Apple hält iPhone Mirroring in der EU seit der Einführung 2024 zurück und verweist zur Begründung auf regulatorische Unsicherheiten rund um den Digital Markets Act – konkret auf die Sorge, die Interoperabilitätsvorgaben könnten eine Öffnung der Technik für Drittplattformen erzwingen. Auch unter macOS 27 hat sich daran nichts geändert. Der Patch schließt hier also eine Lücke, die für EU-Anwender praktisch keine Rolle spielt und sich in die Liste der in der EU fehlenden Apple-Funktionen einreiht.
Anders liegt der Fall in der Schweiz: Als Nicht-EU- und Nicht-EWR-Land ist sie von der DMA-Sperre nicht betroffen, iPhone Mirroring steht dort regulär zur Verfügung. Für Schweizer Anwender schließt dieser Eintrag damit eine Lücke in einer Funktion, die im täglichen Gebrauch tatsächlich erreichbar ist.
KI steht inzwischen auf beiden Seiten
Ein Detail in den Danksagungen verdient Aufmerksamkeit. Eine WebKit-Schwachstelle, über die präparierte Webinhalte zu einem Speicherfehler und einem Absturz von Safari führen konnten, schreibt Apple den Sicherheitsforschern Milad Nasr und Nicholas Carlini zu – mit dem ausdrücklichen Zusatz, dass das KI-Modell Claude von Anthropic an der Entdeckung beteiligt war. Dieselbe Kombination taucht ein zweites Mal in der Rubrik der zusätzlichen Danksagungen zu WebKit Storage auf.
Damit erscheint maschinell unterstützte Schwachstellensuche erstmals prominent in Apples eigener Sicherheitsdokumentation. Ende Juni hatte der Konzern eine Reihe von Korrekturen vorgezogen und dies mit dem Risiko KI-gestützter Angriffswerkzeuge begründet. Die aktuelle Liste zeigt die andere Richtung derselben Entwicklung: Dieselbe Technik, die das Auffinden von Lücken für Angreifer beschleunigt, beschleunigt es auch für die Verteidigung.
Apples Sicherheitstakt zieht an
Die Freigabe erfolgte parallel für iPadOS 26.6 sowie die zugehörigen Versionen von macOS Tahoe, watchOS, tvOS und visionOS. Installieren lässt sich das Update auf dem iPhone unter Einstellungen → Allgemein → Softwareupdate.
Mit 78 Einträgen liegt dieses Release deutlich über dem, was Apple in einem regulären Zwischenupdate abarbeitet, und folgt nur rund vier Wochen auf das außerplanmäßige Sicherheitsupdate auf 26.5.2. Zwei umfangreiche Sicherheitsfreigaben innerhalb eines Monats sind für einen laufenden Versionszyklus ungewöhnlich dicht getaktet. Die Verteilung erfolgt über denselben Mechanismus, über den Apple auch Sicherheitsupdates für ältere Systemversionen ausliefert – wer die automatische Installation deaktiviert hat, muss den Download manuell anstoßen. (Bild: Apfelpatient)
- Amazon plant 5.105 Satelliten für iPhone-Funktionen
- iOS 26.6 ist da: Diese Neuerungen bringt das Update
- Silo Staffel 4 startet im Sommer 2027
- Neuromancer bei Apple TV: Teaser und Starttermin stehen fest
- AppleCare One startet in Deutschland: Preise, Umfang & Grenzen
- Apple gegen Micron: Streit um China-Speicher landet bei Trump
- Trump droht der EU wegen der Tech-Bußgelder mit Zöllen
- Claude Opus 5: Anthropics neues KI-Modell ist da
