Das iPhone XR hat gerade einen Fix bekommen, den Apple vor einem Monat ausgeliefert hat
CVE-2026-86950 wurde auf aktuellen iPhones schon Ende September behoben, in iOS 26.7.1. Apples Formulierung dazu ist seither unverändert: Das Unternehmen "hat Kenntnis von einem Bericht, wonach dieses Problem in einem äußerst raffinierten Angriff gegen bestimmte Zielpersonen ausgenutzt worden sein könnte, auf iOS-Versionen vor iOS 27". Die CISA nahm die Lücke am 29. September in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Am 26. Oktober erreichte der Fix endlich die Geräte, für die Apple keine neuen iOS-Versionen mehr herausgibt.
Das sind iOS 18.7.11 und iPadOS 18.7.11, für iPhone XS, XS Max und XR, das iPad der siebten Generation und mehrere ältere iPads. Der Fehler ist ein Schreibzugriff außerhalb der Grenzen in CoreGraphics, dem Teil des Systems, der Bildinhalte zeichnet, gemeldet von Meta Product Security, und das Öffnen einer präparierten Datei genügt zur Codeausführung. "Äußerst raffinierter Angriff gegen bestimmte Zielpersonen" ist Apples Hausformel für kommerzielle Spähsoftware, das reale Risiko für jemanden, der diesen Text liest, war also nie hoch.
Die beiden anderen Korrekturen in diesem Update liegen näher am Alltag. Eine betrifft CoreMedia, wo "eine bösartige App ohne Zustimmung des Nutzers auf die Kamera zugreifen kann", die andere die Audio-Komponente. Von keiner der beiden ist bekannt, dass sie gegen jemanden eingesetzt wurde. Beide sind genau die Sorte Fehler, die ein Jahr später in einem Massen-Schadsoftware-Baukasten auftaucht.
Am selben Tag kamen iOS und iPadOS 27.2 mit 163 Korrekturen sowie macOS Golden Gate 27.2 mit 263, nach SecurityWeeks Zählung 286 verschiedene Fehler zusammen. Die Gewohnheit, die man sich abschauen sollte: das alte Gerät in der Schublade prüfen, das für Musik dient oder einem Kind überlassen wurde, denn an ein Telefon, das man selten aufklappt, erinnert einen niemand. Auf einem Windows-PC steckt dieselbe Lücke in den installierten Programmen statt im Betriebssystem, und genau dafür ist Tendvanes winget-gestützte App-Aktualisierung da: Sie listet auf, was hinterherhinkt, und bringt es in einem Durchgang nach vorn.