Apple-Sicherheitsupdates für iOS und iPadOS, macOS und visionOS, Oktober 2026: An der Spitze von 119 Korrekturen stehen Safari-Schwachstellen zur Codeausführung

Das Release im Überblick

Apple veröffentlichte am 26. Oktober 2026 seine Sicherheitsupdates für Oktober 2026. Das Release umfasst 119 CVEs, die für unsere Leserinnen und Leser relevant sind: 93 betreffen iOS und iPadOS und 26 betreffen Safari. Apple stuft fünf als hoch und neun als mittel ein; 105 sind ohne Bewertung. Keine CVE in diesem Release ist im CISA-KEV-Katalog (Known Exploited Vulnerabilities) aufgeführt.

Die fünf als hoch eingestuften Probleme liegen alle in Safari und WebKit: vier Use-after-free-Schwachstellen und eine Typverwechslung können bei der Verarbeitung manipulierter Webinhalte zur Ausführung beliebigen Codes führen. Korrekturen sind in Safari 27.2, iOS 26.7.2 und iPadOS 26.7.2, iOS 27.2 und iPadOS 27.2, macOS Golden Gate 27.2 und visionOS 27.2 verfügbar. Zwei der Schwachstellen sind außerdem in tvOS 27.2 und watchOS 27.2 korrigiert.

Was am meisten zählt

Safari und WebKit. CVE-2026-112623, CVE-2026-112626, CVE-2026-112651 und CVE-2026-112655 sind Use-after-free-Schwachstellen; CVE-2026-112659 ist eine Typverwechslung. Alle fünf sind mit 8,8 als hoch eingestuft; der Angriffsvektor ist das Netzwerk, es sind keine Berechtigungen erforderlich, aber eine Benutzerinteraktion ist erforderlich. Damit erreichen sie nicht die Schwelle für eine wurmartige Ausbreitung ohne vorherige Authentifizierung, sind aber die oberste Priorität, weil Safari und WebKit weit verbreitet sind. Korrekturen sind in Safari 27.2, iOS 26.7.2 und iPadOS 26.7.2, iOS 27.2 und iPadOS 27.2, macOS Golden Gate 27.2 und visionOS 27.2 verfügbar. Für CVE-2026-112626 und CVE-2026-112655 sind außerdem Korrekturen in tvOS 27.2 und watchOS 27.2 aufgeführt.

Bild- und App-Verarbeitung in iOS, iPadOS und macOS. Die wichtigsten als mittel eingestuften Einträge sind CVE-2026-112415, ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs, durch den eine App eine unerwartete Systembeendigung oder eine Beschädigung des Prozessspeichers verursachen kann; CVE-2026-112614, ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs bei der Verarbeitung eines manipulierten Bildes, der zu einer unerwarteten Beendigung der App führen kann; sowie CVE-2026-113913, ein Problem bei der Eingabevalidierung, das bei der Verarbeitung von Webinhalten vertrauliche Informationen offenlegen kann. Alle drei sind mit 6,5 als mittel eingestuft und in iOS 26.7.2 und iPadOS 26.7.2 sowie in iOS 27.2 und iPadOS 27.2 korrigiert. CVE-2026-112415 und CVE-2026-113913 sind in macOS Golden Gate 27.2, macOS Sequoia 15.8.2, macOS Tahoe 26.7.2 und visionOS 27.2 korrigiert. CVE-2026-112614 ist in macOS Golden Gate 27.2 und macOS Tahoe 26.7.2 korrigiert.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die WebKit-Sicherheitsupdates ein. Installieren Sie Safari 27.2, iOS 27.2 oder iOS 26.7.2 für das iPhone, iPadOS 27.2 oder iPadOS 26.7.2 für das iPad, macOS Golden Gate 27.2 und visionOS 27.2. Damit werden die fünf als hoch eingestuften Schwachstellen behoben, die in Safari die Ausführung beliebigen Codes ermöglichen.
2. Aktualisieren Sie ältere macOS-Versionszweige. Für Macs, die nicht auf macOS Golden Gate 27.2 wechseln können, installieren Sie je nach Modell macOS Tahoe 26.7.2 oder macOS Sequoia 15.8.2, um die Probleme bei der Bildverarbeitung und der Eingabevalidierung zu beheben.
3. Aktualisieren Sie Apple TV und Apple Watch auf tvOS 27.2 beziehungsweise watchOS 27.2, sofern diese Geräte für Sie relevant sind, um CVE-2026-112626 und CVE-2026-112655 abzudecken.
4. Führen Sie anschließend die übrigen Apple-Updates durch. Das Release umfasst 93 iOS- und iPadOS-CVEs und 26 Safari-CVEs; die meisten sind ohne Bewertung und für keine ist im CISA-KEV-Katalog eine Frist festgelegt. Wenden Sie daher den üblichen Aktualisierungszyklus an und überprüfen Sie die Versionen.

Über den Patch hinaus

Im nächsten Monat wiederholt sich dieselbe Dynamik: eine große Zahl von Speichersicherheits-Korrekturen über alle Apple-Plattformen, die meisten ohne Bewertung und keine im CISA-KEV-Katalog. Die Managementaufgabe besteht darin, zu wissen, welche Geräte nicht auf dem aktuellen Stand sind, und das Update einzuspielen, bevor die nächste Veröffentlichung die Ausgangsbasis verändert. Managed Detection and Response (MDR) passt zur Klasse der WebKit-Codeausführungsschwachstellen, denn wenn manipulierte Inhalte geöffnet werden, erkennen EDR und SIEM die Folgeaktivitäten. Lieferkettenschutz & Drittanbieterrisiko passt zum Problem des Patch-Zyklus: Apple ist ein Anbieter, dessen Veröffentlichungsrhythmus Ihr Gefährdungszeitfenster bestimmt.