Mit dem Sprung auf iOS 27 räumt Apple in erheblichem Umfang auf. Die Liste reicht vom Kernel über Bluetooth bis zur Kamera und enthält Lücken, die einer App Root-Rechte verschaffen konnten. Wer nicht auf die neue Generation wechseln will, bekommt einen Großteil der Korrekturen auch für iOS 26.
Apple veröffentlicht zu jeder Systemversion ein eigenes Sicherheitsdokument, und das zu iOS 27 und iPadOS 27 fällt ungewöhnlich lang aus. Es datiert auf den 14. September, also auf den Tag, an dem die gesamte Systemreihe erschienen ist. Aufgeführt sind Einträge von Accelerate Framework bis XPC – quer durch Kernel, Netzwerkstack, Mediencodecs, Sandbox und Bedienungshilfen.
Das Wichtigste in Kürze
- Die Korrekturen gelten für iPhone 11 und neuer sowie iPads ab der 9. Generation.
- Darunter sind mehrere Kernel-Fehler, einer davon konnte einer bösartigen App Root-Rechte verschaffen.
- Eine Bluetooth-Lücke erlaubte aus der Ferne das Ausführen von fremdem Code.
- Bei keinem Eintrag vermerkt Apple, dass die Lücke bereits ausgenutzt wurde.
- Wer bei iOS 26 bleiben will, bekommt die meisten Korrekturen mit iOS 26.7.
Die vier heikelsten Einträge
| Bereich | Was möglich war |
|---|---|
| Kernel | Eine bösartige App konnte Root-Rechte erlangen |
| Bluetooth | Ein Angreifer aus der Ferne konnte fremden Code ausführen |
| Telefonie | Ein Angreifer im Netzwerkpfad konnte die IPSec-Authentifizierung umgehen und Datenverkehr mitlesen |
| WLAN | Bei physischem Zugriff auf ein entsperrtes Gerät ließen sich WLAN-Passwörter ohne Authentifizierung auslesen |
Die Bluetooth-Lücke ist der Eintrag, der am wenigsten Mitwirkung des Opfers verlangt: Sie setzt keine installierte App und keinen Klick voraus, sondern Funkreichweite. Ähnlich gelagert sind zwei Fehler im Mobilfunk-Baseband, über die sich ein Gerät aus Funkreichweite zum Absturz bringen ließ.
Ein zweiter Block betrifft weniger die Übernahme des Geräts als das Ausspähen: Mehrere Korrekturen verhindern, dass Apps dauerhafte Kennungen auslesen, den Gerätenamen abfragen, installierte Apps erkennen oder Nutzer über eine Neuinstallation hinweg wiedererkennen.
Wer die Lücken gemeldet hat
In Apples Aufstellung stehen diesmal auffällig viele europäische Forschungseinrichtungen. Die Umgehung der IPSec-Authentifizierung geht auf ein Team der Ruhr-Universität Bochum zurück. Bei den weiteren Danksagungen taucht eine Gruppe der Technischen Universität Graz gemeinsam mit der Interdisciplinary Transformation University auf, die an einem Fehler im Netzwerkdienst mDNSResponder mitgearbeitet hat.
Dazu kommen Sicherheitsabteilungen großer Konzerne, Universitätslabore aus Südkorea und Japan sowie eine lange Reihe einzelner Forscher.
KI-Werkzeuge stehen jetzt in der Danksagung
Zwei Einträge nennt Apple ausdrücklich als Ergebnis einer Zusammenarbeit mit Claude und Anthropic Research, gefunden von einem Sicherheitsdienstleister: ein Fehler im Videoencoder und eine Typverwechslung im Foundation-Framework. In den weiteren Danksagungen zu WebKit steht zudem ein Eintrag von OpenAI Codex Security.
Das bleibt zahlenmäßig eine Randnotiz gegenüber den Dutzenden menschlicher Meldungen. Bemerkenswert ist die Form: Apple führt die Werkzeuge nicht als Hilfsmittel im Hintergrund, sondern benennt sie neben den Personen, die den Fund eingereicht haben.
Wer bei iOS 26 bleiben möchte
Parallel zur neuen Generation hat Apple ein Sicherheitsupdate für iOS 26.7 veröffentlicht. Ein großer Teil der Korrekturen ist in beiden Fassungen enthalten – wer mit dem Wechsel auf die neue Oberfläche noch warten will, steht also nicht ungeschützt da.
Für ältere Geräte ist das ohnehin die einzige Option: iOS 27 setzt mindestens ein iPhone 11 voraus. Falls das Update hängen bleibt oder mit einer Fehlermeldung abbricht, helfen die üblichen Schritte bei Update-Problemen weiter – am Erscheinungstag sind Apples Server erfahrungsgemäß ausgelastet.
Warum dieses Update auch ohne die neuen Funktionen zählt
Der Umfang liegt weit über dem, was ein gewöhnliches Punkt-Update mitbringt: Das letzte Sicherheitsupdate der 26er-Reihe schloss 29 Lücken, hier sind es ein Vielfaches davon. Das liegt in der Natur eines Generationssprungs, in dem ein Jahr Forschungsarbeit zusammenläuft.
Praktisch heißt das: Solange eine Lücke unveröffentlicht ist, nützt sie Angreifern wenig. Mit der Veröffentlichung des Dokuments ändert sich das, weil dort Bereich, Fehlerart und Wirkung stehen. Genau deshalb ist der Abstand zwischen Freigabe und Installation der kritische Zeitraum – und nicht die Frage, ob eine der Lücken vorher ausgenutzt wurde.
In der EU fehlt beim Funktionsumfang zwar einiges, beim Sicherheitsstand dagegen nichts. Dieser Teil des Updates kommt hierzulande vollständig an.
Aktualisierst du am Erscheinungstag, oder wartest du lieber ein, zwei Wochen ab, bis die ersten Fehlerberichte durch sind? Schreib uns in die Kommentare, wie du es bei großen Versionssprüngen hältst.
