Apple stopft 329 Sicherheitslücken auf einen Schlag – und liefert alten iPhones den Fix für eine ausgenutzte Lücke nach

Apple hat am 26. Oktober 2026 praktisch sein gesamtes Sortiment aktualisiert. Laut der Übersicht der Sicherheitsupdates erschienen an diesem Tag iOS 27.2 und iPadOS 27.2, iOS 26.7.2 und iPadOS 26.7.2, iOS 18.7.11 und iPadOS 18.7.11, macOS Golden Gate 27.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 und Safari 27.2. Am 29. Oktober folgte Xcode 27.2 für Entwickler.

Die Zahlen sind beachtlich. Auf Apples Sicherheitsseite zu iOS 27.2 haben wir am 2. November 2026 163 verschiedene CVE-Einträge gezählt, darunter 26 unter der Überschrift WebKit, 15 im Kernel und 11 in ImageIO. iOS 26.7.2 kommt auf 134 Einträge, iOS 18.7.11 auf drei. Bei den Macs sind es 263 Einträge für macOS Golden Gate 27.2, 213 für macOS Tahoe 26.7.2 und 197 für macOS Sequoia 15.8.2. Viele Lücken betreffen mehrere Systeme gleichzeitig und tauchen deshalb auf mehreren Seiten auf.

Rechnet man die Doppelungen heraus, kommt 9to5Mac auf 329 verschiedene Schwachstellen über alle Updates des Tages und auf insgesamt 1265 CVE-Einträge auf Apples Seiten. Das Magazin weist darauf hin, dass diese Zahlen noch steigen können, weil Apple seine Sicherheitshinweise nach der Veröffentlichung regelmässig ergänzt. MacRumors spricht für iOS 27.2 von «mehr als 160» Lücken und hält fest, dass Apple bei keiner davon von einer aktiven Ausnutzung spricht.

Auffällig ist laut MacRumors und 9to5Mac, wer die Lücken gefunden hat: Apple nennt neben klassischen Sicherheitsforschern auch Forschungsteams von KI-Unternehmen und KI-Werkzeuge als Entdecker. Laut MacRumors gehen sechs Einträge auf das Team «Calif» zurück, das zuvor das iPhone Duo per Jailbreak geknackt hatte. Für dich als Nutzer heisst das vor allem: Es werden mehr Lücken gefunden und schneller geschlossen – vorausgesetzt, du installierst die Updates auch.

Die wichtigste Meldung des Tages steckt im kleinsten Update. iOS 18.7.11 und iPadOS 18.7.11 für iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation enthalten nur drei Einträge, aber einer davon hat es in sich: CVE-2026-86950 in CoreGraphics, der Grafikbibliothek, die Bilder und PDFs verarbeitet. Laut Apple kann das Verarbeiten einer manipulierten Datei zur Ausführung fremden Codes führen – ein Schreibfehler ausserhalb des zulässigen Speicherbereichs, den Apple mit besseren Grenzprüfungen behoben hat. Gemeldet wurde die Lücke laut Apple von Meta Product Security.

Apple schreibt dazu wörtlich: «Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27.» Auf Deutsch: Apple liegt ein Bericht vor, wonach die Lücke in einem extrem ausgeklügelten Angriff gegen gezielt ausgewählte Personen auf iOS-Versionen vor iOS 27 ausgenutzt worden sein könnte. Mehr sagt Apple nicht – weder wer angegriffen wurde noch von wem.

Neu ist die Lücke nicht. Dieselbe CVE-Nummer mit demselben Wortlaut steht bereits auf Apples Sicherheitsseite zu iOS 26.7.1, veröffentlicht am 28. September 2026 für iPhone 11 und neuer. Die älteren Geräte, die laut MacRumors kein iOS 26 mehr ausführen können, mussten also 28 Tage auf denselben Fix warten. Warum, sagt Apple nicht. Wir stellen das fest, ohne zu spekulieren.

Neben der CoreGraphics-Lücke schliesst iOS 18.7.11 zwei weitere: CVE-2026-65339 in Audio, über die eine App laut Apple sensible Nutzerdaten preisgeben konnte, und die Kamera-Lücke CVE-2026-86990, zu der wir im nächsten Abschnitt kommen. Apples Seite zu iOS 18.7.11 wurde laut Datumsangabe erst am 29. Oktober 2026 publiziert, drei Tage nach dem Update selbst.

Unter den über 160 Einträgen für iOS 27.2 stechen einige hervor, weil sie direkt den Alltag von Privatnutzern berühren. Die auffälligste ist CVE-2026-86990 in CoreMedia: Laut Apple konnte eine bösartige App ohne Erlaubnis des Nutzers auf die Kamera zugreifen – die Berechtigungsabfrage liess sich umgehen. Die Lücke steckt in iOS 27.2, iOS 26.7.2, iOS 18.7.11, macOS Golden Gate 27.2 und macOS Tahoe 26.7.2 (nicht aber in der Liste zu macOS Sequoia 15.8.2). Gemeldet hat sie laut Apple der Sicherheitsforscher Mustafa Calap. 9to5Mac ordnet ein: Der grüne Punkt am iPhone beziehungsweise die grüne LED am Mac leuchtete trotzdem, weil die Lücke nur die Berechtigungsabfrage aushebelte, nicht die Anzeige. Hinweise auf eine Ausnutzung gibt es laut 9to5Mac nicht.

Zweitens die Privatsphäre: CVE-2026-112500 in Mail konnte laut Apple die echte E-Mail-Adresse preisgeben, wenn jemand die Funktion «E-Mail-Adresse verbergen» (Hide My Email) nutzt – also genau die Adresse, die diese Funktion schützen soll. Und CVE-2026-113952 in WebKit erlaubte es einer Website laut Apple, ein Medienformat zu verwenden, das im Blockierungsmodus (Lockdown Mode) eigentlich gesperrt sein sollte. Der Blockierungsmodus richtet sich an besonders gefährdete Personen; eine Lücke genau dort wiegt deshalb schwerer als die Zahl «eins» vermuten lässt.

Drittens die Klassiker: Mehrere WebKit-Einträge – etwa CVE-2026-112626, CVE-2026-112639, CVE-2026-112637 und CVE-2026-112659 – tragen Apples Standardformulierung, wonach das Verarbeiten manipulierter Webinhalte zur Ausführung fremden Codes führen kann. Das ist der Baustein, mit dem Angreifer ein Gerät über eine präparierte Webseite übernehmen; 9to5Mac erinnert daran, dass die Exploit-Kits «Coruna» und «DarkSword», deren Lücken Apple dieses Jahr schloss, genau solche WebKit-Lücken nutzten. Dazu kommen CVE-2026-86987 in Apple Intelligence (ein entfernter Angreifer konnte laut Apple auf sensible Nutzerdaten zugreifen; betrifft iPhone 15 Pro und neuer), CVE-2026-112652 in Security (eine App konnte die Zertifikatsprüfung umgehen) und CVE-2026-112595 in Thread (Angreifer in physischer Nähe konnten Zugang zum Thread-Netzwerk erlangen).

Zwei Einträge stehen nur in den älteren Systemen: In iOS 26.7.2 listet Apple CVE-2026-84614 in Siri, über die jemand mit physischem Zugriff vom Sperrbildschirm aus Kontakte abrufen konnte, sowie CVE-2026-28864 in Security, über die ein lokaler Angreifer an Schlüsselbund-Einträge gelangen konnte. In macOS Tahoe 26.7.2 steht CVE-2026-43736 in Siri, über die eine App laut Apple auf sensible Nutzerdaten zugreifen konnte. Für keine dieser Lücken nennt Apple eine Ausnutzung.

Beim iPhone gibt es drei Wege. iOS 27.2 läuft laut Apple auf iPhone 11 und neuer sowie auf iPad Pro 12,9" ab der 4. Generation, iPad Pro 11" ab der 2. Generation, iPad Air ab der 4. Generation, iPad ab der 9. Generation und iPad mini ab der 6. Generation. iOS 26.7.2 läuft ebenfalls ab iPhone 11, bei den iPads jeweils eine Generation weiter zurück (iPad Pro 12,9" ab 3. Generation, iPad Pro 11" ab 1. Generation, iPad Air ab 3. Generation, iPad ab 8. Generation, iPad mini ab 5. Generation). Es ist für alle gedacht, die noch nicht auf iOS 27 wechseln wollen oder deren iPad das nicht kann. Laut MacRumors enthält es viele derselben Sicherheitskorrekturen; Apples Seite listet 134 Einträge gegenüber 163 für iOS 27.2.

iOS 18.7.11 und iPadOS 18.7.11 sind ausschliesslich für iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation bestimmt. Diese Geräte bekommen kein iOS 26 mehr und erhalten nur noch die drei oben beschriebenen Fixes – darunter die ausgenutzte CoreGraphics-Lücke und die Kamera-Lücke. Wer ein solches Gerät besitzt, sollte das Update nicht aufschieben.

Beim Mac entspricht die Aufteilung dem iPhone: macOS Golden Gate 27.2 für das aktuelle System, macOS Tahoe 26.7.2 und macOS Sequoia 15.8.2 für die beiden Vorgänger. Safari 27.2 (laut Apple 33 Einträge, für macOS Sequoia und macOS Tahoe) bringt die WebKit-Korrekturen zusätzlich auf die beiden älteren Mac-Systeme. Dazu kommen watchOS 27.2 für Apple Watch Series 9 und neuer, tvOS 27.2 für Apple TV 4K ab der 2. Generation und visionOS 27.2 für alle Vision Pro. Das ebenfalls am 26. Oktober erschienene tvOS 26.6.1 für Apple TV HD und Apple TV 4K der 1. Generation ist laut MacRumors ein reines Funktionsupdate ohne Sicherheitsinhalte.

Bevor du loslegst, rät Apple zu einem Backup über iCloud oder den Computer. Schliesse das Gerät ans Ladegerät an und verbinde es mit dem WLAN. Danach gehst du auf dem iPhone oder iPad laut Apples Hilfeseite so vor: Öffne «Einstellungen», tippe auf «Allgemein» und dann auf «Softwareupdate». Dort siehst du die installierte iOS-Version und ob ein Update bereitsteht. Tippe auf «Laden und installieren» und folge den Anweisungen auf dem Bildschirm. Apple weist darauf hin, dass eine VPN- oder Proxyverbindung den Kontakt zu den Update-Servern verhindern kann – schalte dein VPN also notfalls kurz aus (→ VPN auf dem iPhone einrichten – mit App oder von Hand).

Noch besser ist, wenn du gar nicht mehr daran denken musst. Unter «Einstellungen» > «Allgemein» > «Softwareupdate» > «Automatische Updates» bietet Apple zwei Optionen: «Automatische Installation» lädt und installiert ein Update über Nacht, während das iPhone lädt und im WLAN ist; vorher bekommst du eine Mitteilung. «Automatisch herunterladen» lädt das Update nur im Hintergrund, damit du es später selbst installierst – diese Option erscheint laut Apple erst, wenn die automatische Installation ausgeschaltet ist. Unter «Systemdateien» lässt sich zusätzlich «Automatisch installieren» aktivieren, damit kleine Sicherheitskorrekturen auch ohne Versionswechsel eingespielt werden.

Am Mac führt der Weg laut Apple über das Apple-Menü oben links > «Systemeinstellungen» > «Allgemein» > «Softwareupdate». Die Funktion sucht automatisch nach passender Software; liegt ein Update vor, klickst du auf die Schaltfläche zum Aktualisieren oder Neustarten. Auch hier empfiehlt Apple vorher ein Backup, und auch hier kannst du in den Einstellungen von «Softwareupdate» festlegen, ob der Mac Updates automatisch lädt und installiert.

Das Bundesamt für Cybersicherheit (BACS) formuliert es auf seiner Seite zum Geräteschutz so: Man solle darauf achten, dass das Gerät stets auf dem aktuellen Stand gehalten wird, da veraltete Software ein Einfallstor für Cyberkriminelle darstelle – und sicherstellen, dass sämtliche Geräte, also Computer, Smartphones und Tablets, verfügbare Sicherheitsupdates automatisch einspielen. Genau das erledigt die Option «Automatische Installation».

Was bedeutet Apples Formulierung «extrem ausgeklügelter Angriff gegen gezielt ausgewählte Personen» für dich? Zunächst: kein Grund zur Panik. Solche Angriffe sind teuer und richten sich erfahrungsgemäss gegen wenige, ausgewählte Ziele – Apple nennt weder Namen noch Zahlen, und wir wissen nicht, ob jemand in der Schweiz betroffen war. Aber es ist ein klarer Grund zum Updaten. Denn mit der Veröffentlichung der Sicherheitshinweise liegen die Details offen, und MacRumors formuliert die Konsequenz nüchtern: Geräte, die nicht aktualisiert werden, können jetzt von jedermann mit den entsprechenden Kenntnissen angegriffen werden – nicht mehr nur von denen, die die Lücke zuerst fanden.

Dass die alten iPhones den CoreGraphics-Fix erst 28 Tage später erhielten, ist ein Fakt, den wir festhalten, ohne ihn zu deuten: Apple nennt keinen Grund. Für Besitzer eines iPhone XS, XS Max oder XR heisst das praktisch, dass ihr Gerät einen Monat lang eine bekannte, mutmasslich ausgenutzte Lücke hatte. Wer ein solches Gerät noch im Alltag nutzt, sollte iOS 18.7.11 heute installieren und sich bewusst sein, dass die Zahl der Fixes für diese Geräte kleiner ausfällt als für neuere.

Ein Punkt, den wir immer wieder betonen: Ein VPN oder ein Virenscanner hilft gegen solche Lücken nicht. Ein VPN verschlüsselt den Weg deiner Daten durchs Netz (→ Was ist ein VPN? So funktioniert das virtuelle private Netzwerk), aber eine manipulierte PDF-Datei oder eine präparierte Webseite kommt verschlüsselt genauso an und wird vom Gerät genauso verarbeitet. Die Lücke sitzt im System selbst – und dort schliesst sie nur das Update. Auch der grüne Kamera-Punkt ist kein Schutz, sondern eine Anzeige: Laut 9to5Mac leuchtete er bei der Kamera-Lücke weiterhin, was nur hilft, wenn gerade jemand hinschaut. Prüfe deshalb nach dem Update unter «Einstellungen» > «Datenschutz & Sicherheit» > «Kamera», welche Apps Zugriff haben, und entferne, was du nicht kennst oder nicht mehr brauchst.

Und weil Lücken wie die bei «E-Mail-Adresse verbergen» oder beim Zugriff auf den Schlüsselbund zeigen, dass auch Datenschutzfunktionen Fehler haben können, lohnt sich der Blick aufs Fundament: Ein eigenes, starkes Passwort pro Dienst (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist) und ein zweiter Faktor oder Passkey (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey) begrenzen den Schaden, wenn einmal etwas durchrutscht. Die Updates vom 26. Oktober sind kein Anlass zur Sorge – aber ein guter Anlass, die automatischen Updates endlich einzuschalten.