Apple-Sicherheitsupdates für iOS, iPadOS und macOS, Oktober 2026: eine Out-of-bounds-Write-Schwachstelle behoben

Das Release im Überblick

Apple hat seine Sicherheitsupdates für iOS, iPadOS und macOS vom Oktober 2026 am 20. Oktober 2026 veröffentlicht. Das auf dieser Seite behandelte Release enthält genau eine CVE, CVE-2026-86944; diese ist der einzige Eintrag in der Tabelle. In den für diese Seite verwendeten Daten ist keine Hersteller-Schweregradbewertung verfügbar, und der Datensatz zur CVE weist keinen CVSS-Basiswert auf. Daher wird das Release als unbewertet erfasst. Die CVE ist nicht im Katalog „Known Exploited Vulnerabilities“ der CISA aufgeführt, und in den verfügbaren öffentlichen Daten wird keine Ausnutzung gemeldet.

Das Update umfasst drei Plattformlinien: iOS und iPadOS, macOS Sequoia und macOS Tahoe. Obwohl die Zahl der CVEs gering ist, betrifft die Schwachstelle Geräte mit einem Stand vor den korrigierten Versionen – und zwar sowohl im Mobil- als auch im Desktop-Bestand. Keine der CVEs in diesem Release wurde von der CISA oder von Apple als aktiv ausgenutzt eingestuft.

Was am meisten zählt

Bei diesem Release muss nur eine Schwachstelle beachtet werden: CVE-2026-86944. Apple beschreibt sie als Out-of-bounds-Write; die Schwachstelle wurde durch verbesserte Grenzprüfungen behoben. Eine App kann unter Umständen einen unerwarteten Systemabbruch verursachen. Der beschriebene Auslöser ist eine App, keine Anfrage über das Netzwerk.

Betroffene Produkte und Versionen:

• iOS und iPadOS vor 26.7
• macOS vor Sequoia 15.8
• macOS vor Tahoe 26.7

Apple behebt die Schwachstelle in iOS 26.7 und iPadOS 26.7, macOS Sequoia 15.8 und macOS Tahoe 26.7. In den für diese Seite verwendeten Daten sind weder ein CVSS-Wert noch eine Apple-Schweregradbewertung verfügbar. Das öffentliche EPSS-Signal liegt bei 0,2 % (4. Perzentil). Für die Schwachstelle sind keine CWE-Kennungen aufgeführt.

Da diese CVE die einzige in diesem Release ist, steht sie standardmäßig an erster Stelle. Geräte auf einem der betroffenen Zweige ohne die genannten Sicherheitsupdates können aber von einer App gestört werden, die den Out-of-bounds-Write auslöst. Priorisieren Sie Geräte, auf denen Nutzerinnen und Nutzer Apps von Drittanbietern installieren oder ausführen können; diese Geräte sind dem App-basierten Auslöser am direktesten ausgesetzt. Da die Korrektur für alle betroffenen Zweige verfügbar ist, muss keine Produktlinie auf ein Update warten.

In dieser Reihenfolge patchen

Bei nur einer CVE und keinen aktiv ausgenutzten oder im KEV-Katalog aufgeführten Einträgen ist die Prioritätenliste kurz:

1. Aktualisieren Sie alle verwalteten iPhones und iPads auf iOS 26.7 bzw. iPadOS 26.7.
2. Aktualisieren Sie Macs je nach installierter Release-Linie auf macOS Sequoia 15.8 oder macOS Tahoe 26.7.
3. Beginnen Sie bei diesen Updates mit Geräten, auf denen Nutzerinnen und Nutzer Apps von Drittanbietern installieren oder ausführen können, und schließen Sie den übrigen Bestand innerhalb Ihres regulären Wartungsfensters für Sicherheitsupdates ab.

Da CVE-2026-86944 nicht im CISA-KEV-Katalog aufgeführt ist, setzt die CISA keine Frist für die Behebung. Bei den veröffentlichten Korrekturen handelt es sich um die Betriebssystem-Updates auf die oben genannten Versionen.

Über den Patch hinaus

Ein Apple-Release mit einer einzigen CVE lässt sich leicht als Routine einstufen. Es ist dennoch ein nützlicher Prüfpunkt dafür, wie gut Sie die Sicherheitsupdate-Zyklen der Hersteller über einen gemischten Bestand aus iPhones, iPads und Macs nachverfolgen. Mit dem Service Lieferkettenschutz & Drittparteienrisiko unterstützen wir Sie dabei, den Überblick darüber zu behalten, welche Software welcher Hersteller bei Ihnen im Einsatz ist und wie schnell Sie deren Sicherheitsupdates übernehmen – damit ein kleines Update nicht durch eine veraltete Bestandsliste durchrutscht. Für Organisationen, die an NIS2-/DORA-Rahmenwerken arbeiten, ist diese Art der Nachverfolgung von Hersteller-Sicherheitsupdates eine erwartete Sicherheitsmaßnahme und keine optionale Zusatzleistung.