Dieser Beitrag kann Partnerlinks enthalten. Mehr dazu im Partnerprogramm.
Eine öffentlich zugängliche Technik hebelt auf dem iPhone die Trennung zwischen Apps aus. Die Kryptobörse Binance warnt vor dem Zugriff auf Seed-Phrasen und private Schlüssel. Laut dem Forscher dahinter ist die Lücke auch mit dem aktuellen iOS 27.2.1 nicht geschlossen.
Jede App auf dem iPhone läuft in einer eigenen Sandbox und kommt normalerweise nicht an die Daten anderer Apps. Genau diese Grenze umgeht worse_query. Die Forscher forcequitOS und 0xjohnny haben am Sonntag, 8. November, eine Machbarkeitsnachweis auf GitHub veröffentlicht. Am Dienstag folgte die Warnung von Binance. Dazwischen lag das Update auf iOS 27.2.1 und die übrigen Systemupdates vom 9. November. Apples Sicherheitshinweise dazu nennen keinen Fix, der ausdrücklich worse_query zugeordnet ist.
Das Wichtigste in Kürze
- worse_query ist ein Sandbox-Ausbruch: Eine präparierte App kann Dateien anderer Apps lesen, ohne Jailbreak.
- Binance nennt iOS 26.7.1, 27.0.1 und 27.2 als betroffen, die Projektseite iOS 26.0 bis 26.7.2 sowie iOS 27.2.
- Laut forcequitOS schließen weder iOS 27.2.1 noch iOS 27.3 Beta 1 die Lücke.
- Ausgenutzte Fälle oder Diebstähle sind bislang nicht bekannt.
- Binance rät, Apps aus fremden Quellen zu löschen und alles auf den neuesten Stand zu bringen.
Was Binance konkret befürchtet
Die Kryptobörse hat ihre Warnung am 10. November auf X veröffentlicht und ausdrücklich nicht auf die eigene App beschränkt:
Eine Schwachstelle (worse_query), die iOS 26.7.1, 27.0.1 und 27.2 betrifft, erlaubt es schädlichen Apps, lokale Dateien anderer Apps auszulesen. Damit sind Seed-Phrasen, private Schlüssel und Anmeldedaten im gesamten Ökosystem gefährdet. Es handelt sich um ein Problem auf iOS-Ebene, das nicht nur Binance betrifft.
Dazu kommen drei Empfehlungen: Apps aus nicht vertrauenswürdigen Quellen löschen, also per Sideloading oder als manuell signierte IPA-Datei installierte Apps. iOS und alle Apps auf die neuesten offiziellen Versionen aktualisieren. Wer einen Einbruch vermutet, soll sein Guthaben auf eine neue Wallet auf einem sauberen Gerät übertragen und alle aktiven Anmeldesitzungen zurücksetzen.
Wie worse_query die Sandbox umgeht
Laut der Projektseite erreicht worse_query die Datencontainer installierter Apps, die Container von Erweiterungen und internen Systemdiensten sowie gemeinsam genutzte App-Group-Speicher. Unter iOS 27 kommen weitere Systempfade dazu. Voraussetzung ist, dass die App einen eigenen App-Group-Container mitbringt. Die Forscher bezeichnen den Code als Machbarkeitsnachweis für Entwickler, der allein nichts ausrichtet, und betonen, dass es sich nicht um einen Jailbreak handelt.
Wie schnell sich das ändern kann, zeigte sich einen Tag nach der Veröffentlichung: Der Entwickler Christoph Kolbicz stellte mit WQ Files einen Dateimanager auf Basis von worse_query vor, der App-Daten unter iOS 27 ohne Jailbreak anzeigt und bearbeitet, getestet auf iOS 27.0.1. worse_query ist der Nachfolger von bad_query, das forcequitOS im Sommer für iOS 26.0 bis 26.6.1 und die vierte Beta von iOS 27 veröffentlicht hatte.
Ob eine Wallet tatsächlich Schlüssel preisgibt, hängt davon ab, wie sie speichert. Das Sicherheitsunternehmen SlowMist sieht ein Risiko vor allem dort, wo eine Wallet Seed-Phrasen, Keystores oder WebView-Daten unverschlüsselt im eigenen Container ablegt. Hardware-Wallets halten die Schlüssel ohnehin vom Telefon fern.
Welche Versionen betroffen sind
Die Angaben gehen auseinander, weil Binance und die Forscher unterschiedliche Stände nennen:
| Quelle | Angabe zu iOS-Versionen |
|---|---|
| Warnung von Binance (10.11.) | betroffen: iOS 26.7.1, 27.0.1 und 27.2 |
| Projektseite von worse_query | funktioniert: iOS 26.0 bis 26.7.2 sowie iOS 27.2 |
| forcequitOS auf X (10.11.) | nicht geschlossen: iOS 27.2.1 und iOS 27.3 Beta 1 |
Für die aktuelle Fassung hat forcequitOS die Lage auf X klargestellt:
Nur als allgemeine Klarstellung, damit es keine Verwirrung gibt: worse_query ist in iOS 27.2.1 und 27.3 Beta 1 nicht gepatcht. Ich aktualisiere die unterstützten Versionen auf der Projektseite, sobald es gepatcht ist.
Damit ist auch die erste Beta von iOS 27.3 betroffen, die am 3. November an Entwickler ging. Der Sicherheitschef von SlowMist hatte am selben Tag zunächst erklärt, iOS 27.2.1 blockiere worse_query; forcequitOS widersprach dem mit der Klarstellung oben.
In den Sicherheitshinweisen zu iOS 27.2.1 steht zwar ein Eintrag zu App Intents, nach dem eine App auf sensible Nutzerdaten zugreifen konnte. Gemeldet hat ihn aber ein anderer Forscher, worse_query wird dort nicht genannt, und forcequitOS sieht die Lücke weiterhin offen. In den Hinweisen zu iOS 26.7.3 findet sich kein Eintrag dieser Art. Eine CVE-Kennung für worse_query gibt es bislang nicht.
Warum die Herkunft der Apps jetzt zählt
Ich halte die Lage für ernst, aber nicht für einen Grund zur Panik. Der Angriff setzt eine präparierte App auf dem Gerät voraus, und genau da liegt der Hebel. Manuell installierte Unternehmens-Apps starten erst, wenn ihnen unter Einstellungen > Allgemein > VPN und Geräteverwaltung ausdrücklich vertraut wurde. Ein Blick dorthin zeigt, ob solche Apps auf dem Gerät liegen. Was nicht mehr gebraucht wird, sollte runter, ebenso jede andere App, die nicht aus dem App Store stammt und deren Herkunft unklar ist.
In der EU kommen zwei weitere Wege dazu: alternative App-Marktplätze und der Vertrieb über Websites. Die Marktplätze gibt es seit iOS 17.4, den Webvertrieb seit iOS 17.5. Wer darüber Apps unbekannter Anbieter installiert hat, sollte die Liste in den nächsten Tagen kritischer durchgehen als sonst. Die übrigen Grundregeln zum Schutz vor Malware auf Apple-Geräten gelten unverändert.
Das Update auf iOS 27.2.1 schließt worse_query zwar nicht, lohnt aber trotzdem: Es behebt unter anderem eine Lücke in iMessage-Gruppenkonversationen. Wer größere Summen in einer Wallet auf dem iPhone hält, ist mit einer Hardware-Wallet besser aufgestellt, solange Apple keinen Fix für iOS 27 ausliefert.
Hast du Apps aus anderen Quellen als dem App Store auf deinem iPhone, und würdest du sie wegen worse_query jetzt löschen? Schreib uns in den Kommentaren, welche Quellen du nutzt und wie du mit der Warnung umgehst.
