Apple-Sicherheitsupdates für iOS und iPadOS, macOS und visionOS, Oktober 2026: Eine hochriskante WebKit-Schwachstelle steht an der Spitze von 39 Korrekturen

Das Release im Überblick

Apple veröffentlichte am 26. Oktober 2026 Sicherheitsupdates für iOS und iPadOS, macOS und visionOS, die 39 CVEs umfassen. Apple stuft eine Schwachstelle als hochriskant ein und lässt 38 unbewertet. Keines der Probleme ist als aktiv ausgenutzt markiert oder im CISA-KEV-Katalog aufgeführt. Die Veröffentlichung enthält 32 CVEs für iOS und iPadOS sowie 7 CVEs für Safari.

Was am meisten zählt

Safari und WebKit. CVE-2026-112637 ist die einzige in diesem Release mit CVSS bewertete Schwachstelle; der Wert liegt bei 8,8 (hoch). Dabei handelt es sich um eine Use-after-free-Schwachstelle in WebKit: Die Verarbeitung manipulierter Webinhalte kann zur Ausführung von beliebigem Code führen. Sie ist in Safari 27.2, iOS und iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, visionOS 27.2 und watchOS 27.2 behoben.

iOS und iPadOS. Die übrigen Schwachstellen mit hoher Priorität setzen entweder eine privilegierte Position oder lokale Codeausführung voraus, sind aber für die Geräte- und Identitätsverwaltung relevant. CVE-2026-112518 ist eine Schwäche bei der Signaturvalidierung, die es einem Angreifer in privilegierter Netzwerkposition ermöglichen könnte, sich als Kerberos-KDC auszugeben; behoben ist sie in iOS und iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, visionOS 27.2 und watchOS 27.2. CVE-2026-112459 ist eine Race Condition, durch die eine App das System beenden oder den Kernel-Speicher beschädigen kann; behoben ist sie in iOS und iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2 und watchOS 27.2. CVE-2026-112507 ist ein Schreibzugriff außerhalb der vorgesehenen Speichergrenzen, nur in iOS und iPadOS, mit demselben Ergebnis, dass in den Kernel-Speicher geschrieben werden kann. CVE-2026-112567 ermöglicht es einer bösartigen App, die Datenschutzeinstellungen zu umgehen, und CVE-2026-112500 kann bei der Nutzung von Hide My Email die ursprüngliche E-Mail-Adresse von Nutzerinnen und Nutzern offenlegen. CVE-2026-112432, ein Protokollierungsproblem, könnte es einer App ermöglichen, auf sensible Nutzerdaten zuzugreifen. CVE-2026-112595 ermöglicht es einem Angreifer in räumlicher Nähe, manipulierten Netzwerkverkehr zu erzeugen und Zugriff auf ein Thread-Netzwerk zu erlangen.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst den WebKit-Fix ein. Aktualisieren Sie Safari auf 27.2, iOS und iPadOS auf 27.2, macOS auf Golden Gate 27.2 sowie tvOS, visionOS und watchOS auf 27.2, um CVE-2026-112637 zu schließen – die einzige hochriskante Schwachstelle und zugleich die einzige Codeausführungslücke in WebKit in diesem Release.
2. Spielen Sie als Nächstes die Updates für Identitäts- und lokalen Netzwerkzugriff ein. CVE-2026-112518 (Nachahmung eines Kerberos-KDC) ist in iOS und iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, visionOS 27.2 und watchOS 27.2 behoben. CVE-2026-112595 (Zugriff auf ein Thread-Netzwerk) ist in iOS und iPadOS 27.2, macOS Golden Gate 27.2 und tvOS 27.2 behoben.
3. Gehen Sie zu den Kernel- und Datenschutzkorrekturen über. Spielen Sie für CVE-2026-112459, CVE-2026-112507, CVE-2026-112567, CVE-2026-112500 und CVE-2026-112432 iOS und iPadOS 27.2 ein. Spielen Sie für macOS Golden Gate 27.2 ein; für CVE-2026-112567 zusätzlich Sequoia 15.8.2 oder Tahoe 26.7.2. tvOS 27.2, visionOS 27.2 und watchOS 27.2 schließen die jeweiligen Kernel- und Datenschutzlücken.
4. Schließen Sie den Updatezyklus ab. Dieselben Apple-Veröffentlichungen decken alle 39 CVEs ab: 32 betreffen iOS und iPadOS, 7 betreffen Safari.

Über den Patch hinaus

Dies ist ein routinemäßiger Apple-Patchzyklus: keine als ausgenutzt markierten oder im CISA-KEV-Katalog aufgeführten Schwachstellen, aber eine hochriskante WebKit-Schwachstelle und viele lokale Rechte- und Datenschutzbehebungen. Der Aufwand ist überschaubar, wenn Sie Apples Patch-Rhythmus als Teil Ihres Expositionsfensters betrachten. Mit Lieferkettenschutz & Drittanbieterrisiko behalten Sie den Überblick, welche Apple-Plattformen Sie betreiben und wie schnell das Update sie erreicht, während Managed Detection & Response (MDR) auf Codeausführung oder den Missbrauch von Zugangsdaten achten kann, falls ein ungepatchtes Gerät vor Abschluss des Updates angegriffen wird.