Apple-Sicherheitsupdates für iOS, iPadOS, macOS und visionOS vom September 2026: Eine ausgenutzte Schwachstelle führt zu zwei Korrekturen

Das Release im Überblick

Apples Sicherheitsupdates vom September 2026 für iOS und iPadOS, macOS und visionOS umfassen zwei für unsere Leserinnen und Leser relevante Schwachstellen. Eine wird mit einem CVSS-3.1-Wert von 8,8 als hoch eingestuft; für die andere liegt kein CVSS-Wert vor. CVE-2026-86950, die Schwachstelle mit hohem Schweregrad, wird als ausgenutzt geführt: CISA hat sie am 29. September 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen; die Frist läuft bis 13. Oktober 2026. ENISA EUVD listet eine Ausnutzung seit dem 29. September 2026. Apple gibt an, einen Bericht zu kennen, wonach die Schwachstelle möglicherweise bei einem äußerst ausgeklügelten Angriff auf bestimmte, gezielt ausgewählte Personen auf iOS-Versionen vor iOS 27 ausgenutzt wurde.

Für beide Schwachstellen stehen Korrekturen bereit. CVE-2026-86950 betrifft iOS und iPadOS sowie macOS; CVE-2026-86990 betrifft iOS und iPadOS, macOS und visionOS. Die zweite Schwachstelle ist nicht in CISA KEV enthalten, und in den Daten wird keine Ausnutzung angegeben.

Was am meisten zählt

iOS und iPadOS: zwei Schwachstellen. CVE-2026-86950 ist ein Schreibzugriff außerhalb der vorgesehenen Grenzen, der durch verbesserte Grenzprüfungen behoben wurde. Das Verarbeiten einer manipulierten Datei kann zur Ausführung beliebigen Codes führen. Der CVSS-3.1-Wert beträgt 8,8 (hoch); dies ist die einzige ausgenutzte Schwachstelle in diesem Release und hat auf dieser Website eine eigene Schwachstellen-Warnung. Betroffen sind Versionen vor 18.7.11 und vor 26.7.1. CVE-2026-86990 ist ein Zugriffsproblem, das durch verbesserte Zugriffsbeschränkungen behoben wurde: Eine bösartige App kann ohne Erlaubnis der Benutzerin oder des Benutzers auf die Kamera zugreifen. Es werden weder ein CVSS-Wert noch eine CWE angegeben, und es ist keine Ausnutzung verzeichnet. Betroffen sind Versionen vor 18.7.11, vor 26.7.2 und vor 27.2.

macOS: CVE-2026-86950 betrifft Versionen vor 15.8.1 und vor 26.7.1. CVE-2026-86990 betrifft Versionen vor 26.7.2 und vor 27.2.

visionOS: Für visionOS ist ausschließlich CVE-2026-86990 relevant; betroffen sind Versionen vor 27.2.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Korrekturen für CVE-2026-86950 ein. Dabei handelt es sich um den ausgenutzten Schreibzugriff außerhalb der vorgesehenen Grenzen. Installieren Sie iOS 18.7.11 und iPadOS 18.7.11, iOS 26.7.1 und iPadOS 26.7.1, macOS Sequoia 15.8.1 und macOS Tahoe 26.7.1. Der KEV-Eintrag der CISA nennt als Frist den 13. Oktober 2026.

1. Spielen Sie anschließend die Korrekturen für CVE-2026-86990 ein. Installieren Sie iOS 18.7.11 und iPadOS 18.7.11, iOS 26.7.2 und iPadOS 26.7.2, iOS 27.2 und iPadOS 27.2, macOS Tahoe 26.7.2, macOS Golden Gate 27.2 und visionOS 27.2. Für dieses Problem beim Kamerazugriff liegt kein CVSS-Wert vor, und es ist nicht als ausgenutzt verzeichnet.

Über den Patch hinaus

Für ein Release wie dieses ist die Entscheidung eindeutig: Spielen Sie zuerst die Korrektur für den ausgenutzten Schreibzugriff außerhalb der vorgesehenen Grenzen ein, danach die Korrektur für den Kamerazugriff. Da die Ausnutzung bereits von CISA KEV, ENISA EUVD und Apple dokumentiert ist, sind Erkennung und Reaktion die erste Verteidigungslinie, solange die Sicherheitsupdates eingespielt werden. Mit Managed Detection and Response (MDR) unterstützen wir Sie dabei, die betroffenen Plattformen auf ungewöhnliche Aktivitäten zu überwachen, und ein Incident Response Retainer ist der praktische Weg, Unterstützung bereitzuhalten, falls ein Angriff vermutet wird, bevor die Sicherheitsupdates vollständig eingespielt sind.