Dieser Beitrag kann Partnerlinks enthalten. Mehr dazu im Partnerprogramm.
Mit iOS 27.2 und den parallel verteilten Updates für Mac, Apple Watch, Apple TV und Vision Pro hat Apple die längste Sicherheitsliste des Herbstes veröffentlicht. Über alle Systeme hinweg stehen 329 verschiedene Schwachstellen in den Dokumenten, darunter eine Kamera-Lücke und ein Fehler in Apple Intelligence. Hinweise auf Angriffe kennt Apple nur bei einer davon, und die betrifft ältere iPhones.
Seit Montagabend verteilt Apple iOS 27.2 mit neuen Funktionen für iPhone und HomePod, zeitgleich erschienen macOS Golden Gate 27.2, watchOS 27.2, tvOS 27.2, visionOS 27.2 sowie Sicherheitsupdates für ältere Systeme. Die zugehörigen Dokumente stehen inzwischen in Apples Übersicht der Sicherheitsupdates. Allein für iOS 27.2 und iPadOS 27.2 führt Apple 163 CVE-Nummern auf.
Zusammen ergeben die zehn Dokumente 329 verschiedene Lücken. Weil viele davon gleich mehrere Systeme betreffen, kommen die Listen insgesamt auf 1.265 Einträge. Die Zahlen geben den Stand vom 26. Oktober wieder.
Das Wichtigste in Kürze
- Apple schließt mit den Updates vom 26. Oktober 329 verschiedene Sicherheitslücken, davon 163 in iOS 27.2 und iPadOS 27.2
- Eine CoreMedia-Lücke erlaubte Apps den Kamerazugriff ohne Erlaubnis, ein Fehler in Apple Intelligence den Zugriff auf persönliche Daten aus der Ferne
- Acht Lücken in WebKit konnten über präparierte Webinhalte zur Ausführung von Schadcode führen
- Hinweise auf Angriffe nennt Apple nur bei einer Lücke, deren Korrektur iOS 18.7.11 für iPhone XS und XR nachliefert
329 Lücken in zehn Dokumenten
Am meisten Korrekturen bekommt der Mac: macOS Golden Gate 27.2 führt 263 CVE-Nummern auf, gefolgt von den Updates für die beiden Vorgängersysteme. Am Ende der Liste steht iOS 18.7.11 mit drei Einträgen für Geräte, die kein neueres System mehr erhalten.
| Update | Geräte laut Apple | CVE-Nummern |
|---|---|---|
| iOS 27.2 und iPadOS 27.2 | iPhone 11 und neuer, iPad (9. Generation) und neuer | 163 |
| iOS 26.7.2 und iPadOS 26.7.2 | iPhone 11 und neuer, iPad (8. Generation) und neuer | 134 |
| iOS 18.7.11 und iPadOS 18.7.11 | iPhone XS, iPhone XS Max, iPhone XR, iPad (7. Generation) | 3 |
| macOS Golden Gate 27.2 | Macs mit macOS Golden Gate | 263 |
| macOS Tahoe 26.7.2 | Macs mit macOS Tahoe | 213 |
| macOS Sequoia 15.8.2 | Macs mit macOS Sequoia | 197 |
| visionOS 27.2 | Apple Vision Pro (alle Modelle) | 125 |
| tvOS 27.2 | Apple TV 4K (2. Generation) und neuer | 72 |
| watchOS 27.2 | Apple Watch Series 9 und neuer | 62 |
| Safari 27.2 | Macs mit macOS Sequoia und Tahoe | 33 |
| tvOS 26.6.1 | Apple TV HD, Apple TV 4K (1. Generation) | keine veröffentlicht |
Die iPad-Angaben sind verkürzt; bei iPadOS 26.7.2 zählen etwa auch iPad Pro, iPad Air und iPad mini älterer Generationen dazu, die iPadOS 27 nicht mehr bekommen. Das iPhone Duo kam mit iOS 27.1 auf den Markt, für das Apple keine CVE-Einträge veröffentlicht hat. iOS 27.2 ist damit das erste Update für das faltbare Modell mit dokumentierten Sicherheitskorrekturen.
Kamera, Apple Intelligence und Mail
Die auffälligste Korrektur betrifft CoreMedia, das Medien-Framework des Systems: Eine schädliche App konnte über die Lücke ohne Erlaubnis auf die Kamera zugreifen. Apple schließt sie in iOS 27.2, iOS 26.7.2, iOS 18.7.11, macOS Golden Gate 27.2, macOS Tahoe 26.7.2 und visionOS 27.2.
Der Fehler in Apple Intelligence betrifft nur Geräte, auf denen die Funktion läuft – also iPhone 15 Pro und neuer sowie die passenden iPad-Modelle. Ein Angreifer konnte darüber aus der Ferne an persönliche Daten gelangen, ein Berechtigungsproblem, das Apple mit strengeren Prüfungen behoben hat.
In der Mail-App konnte unter bestimmten Umständen die echte Adresse durchsickern, wenn „E-Mail-Adresse verbergen” genutzt wurde. Die iCloud+-Funktion stand schon im Sommer wegen einer Lücke in Apples Alias-Diensten in der Kritik. Unter den zusätzlichen Danksagungen zur Mail-App nennt Apple außerdem Dominik Conrads vom Bundesamt für Sicherheit in der Informationstechnik (BSI), ohne eigene CVE-Nummer.
Zwei weitere Einträge sind für einzelne Gruppen relevant. Eine Website konnte ein Medienformat nutzen, das im Blockierungsmodus für iPhone, iPad und Mac eigentlich gesperrt sein sollte. Und ein Angreifer in der Nähe konnte sich über präparierten Datenverkehr Zugang zu einem Thread-Netzwerk verschaffen, das viele Smart-Home-Geräte verbindet.
WebKit bleibt die größte Baustelle
Ein großer Teil der Liste entfällt auf WebKit, die Browser-Engine hinter Safari. Im Dokument zu iOS 27.2 entfallen 32 CVE-Nummern auf WebKit und WebRTC. Bei acht davon konnten präparierte Webinhalte laut Apple zur Ausführung von beliebigem Code führen, bei einer weiteren zum Ausbruch aus der Sandbox, in der Webinhalte abgeschottet laufen.
Mehrere dieser Funde gehen auf die Sicherheitsforschung der KI-Unternehmen zurück: Apple nennt in den Danksagungen OpenAI mit seinem Werkzeug Codex Security sowie das Forschungsteam von Anthropic. Schon beim Update auf iOS 27 im September tauchte Anthropics Modell Claude in Apples Danksagungen auf.
Ältere iPhones bekommen nur drei Korrekturen
Bis auf eine Ausnahme verzeichnet Apple bei keiner der 329 Lücken Hinweise auf Angriffe. Die Ausnahme steckt in iOS 18.7.11: Das Update liefert für iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation eine CoreGraphics-Lücke nach, über die präparierte Dateien Schadcode ausführen konnten. Apple ist nach eigenen Angaben ein Bericht bekannt, wonach sie in einem äußerst ausgeklügelten Angriff gegen gezielt ausgewählte Personen auf iOS-Versionen vor iOS 27 ausgenutzt worden sein könnte.
Für neuere Geräte hatte Apple diese Lücke bereits am 28. September mit iOS 26.7.1 nach gezielten Angriffen geschlossen. Neben ihr enthält iOS 18.7.11 nur die Kamera-Korrektur aus CoreMedia und einen Fix im Audio-System. Die WebKit-Lücken tauchen in der Sicherheitsliste zu iOS 18.7.11 nicht auf.
Apple TV HD und das Apple TV 4K der ersten Generation erhalten mit tvOS 26.6.1 ein Update, zu dem Apple keine CVE-Einträge veröffentlicht hat.
Keine akuten Angriffe, trotzdem kein Update zum Aufschieben
Ich halte iOS 27.2 für eines der Updates, die man nicht bis zum Wochenende liegen lassen sollte – gerade weil es keine ausgenutzte Lücke gibt. Wenn Apple die Details zu acht WebKit-Lücken mit möglicher Codeausführung und einer Kamera-Lücke offenlegt, haben Angreifer eine Vorlage, wonach sie bei ungepatchten Geräten suchen müssen. Die Lücke in Apple Intelligence trifft zudem genau die Geräte, auf denen persönliche Daten mit der KI verarbeitet werden.
Installieren lässt sich das Update unter Einstellungen > Allgemein > Softwareupdate, wo sich auch die automatische Installation von Apples Sicherheitsupdates einschalten lässt. Wer noch ein iPhone XS oder XR nutzt, sollte iOS 18.7.11 ebenfalls zeitnah einspielen. Die drei Korrekturen dort zeigen aber auch, wie schmal der Schutz für diese Geräte inzwischen ist: Die Masse der Webbrowser-Fixes bleibt den Systemen ab iOS 26 vorbehalten.
Installierst du Sicherheitsupdates wie iOS 27.2 noch am selben Abend, oder wartest du lieber ein paar Tage, ob Fehlerberichte auftauchen? Schreib uns in den Kommentaren, wie lange du ein neues Update liegen lässt.
