Apple iOS und macOS: Out-of-bounds-Schreibzugriff ermöglicht beliebige Codeausführung (CVE-2026-86950)

Was passiert ist

CVE-2026-86950 ist ein Out-of-bounds-Schreibzugriff in Apple-Betriebssystemen; Apple hat die Schwachstelle durch verbesserte Grenzprüfungen behoben. Der CVSS-Vektor beschreibt einen netzwerkbasierten Angriff mit niedriger Komplexität und ohne erforderliche Berechtigungen. Das Ziel muss eine gezielt präparierte Datei verarbeiten; eine erfolgreiche Ausnutzung kann zu beliebiger Codeausführung führen und hat hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

Der Sicherheitshinweis von Apple führt aus, dass Apple Kenntnis von einem Bericht hat, dem zufolge dieses Problem möglicherweise in einem äußerst ausgeklügelten Angriff auf bestimmte, gezielt ins Visier genommene Einzelpersonen mit iOS-Versionen vor iOS 27 ausgenutzt wurde. CISA nahm die CVE am 29. September 2026 in den KEV-Katalog (Known Exploited Vulnerabilities) auf; auch der KEV-Eintrag dokumentiert eine Ausnutzung.

Wer betroffen ist

Die betroffenen Produkte und Versionsbereiche sind:

• iOS und iPadOS: vor 26.7.1
• macOS: vor 15.8.1 und vor 26.7.1

Die von Apple genannten korrigierten Versionen sind iOS und iPadOS 26.7.1, macOS Sequoia 15.8.1 und macOS Tahoe 26.7.1. Wenn Ihr Unternehmen iPhones, iPads oder Macs verwaltet, stufen Sie Geräte mit einem älteren Build als betroffen ein.

Was jetzt zu tun ist

1. Spielen Sie die von Apple bereitgestellten korrigierten Versionen ein: iOS und iPadOS 26.7.1, macOS Sequoia 15.8.1 und macOS Tahoe 26.7.1.
2. Priorisieren Sie Nutzerinnen und Nutzer, die mit höherer Wahrscheinlichkeit Ziel eines Angriffs werden, da Apple die Ausnutzung als äußerst ausgeklügelten Angriff auf bestimmte, gezielt ins Visier genommene Einzelpersonen beschreibt.
3. Befolgen Sie bei Geräten, die nicht aktualisiert werden können, die von CISA im KEV-Eintrag geforderte Maßnahme: Wenden Sie verfügbare Schutzmaßnahmen des Herstellers an, oder stellen Sie die Nutzung des Produkts ein, wenn keine Schutzmaßnahmen verfügbar sind. Die von CISA gesetzte Frist ist der 2. Oktober 2026; die geforderte Maßnahme verweist auf die in BOD 26-04 genannten Anforderungen an Priorisierung und forensische Triage.
4. Überprüfen Sie die Verteilung der Updates per MDM oder anhand des Asset-Inventars; verlassen Sie sich nicht auf Selbstauskünfte der Nutzerinnen und Nutzer.

Über den Patch hinaus

Da sowohl Apple als auch CISA eine Ausnutzung dokumentieren, sind Erkennung und Reaktion die unmittelbare Ergänzung zum Einspielen der Sicherheitsupdates. Mit Managed Detection and Response erhalten Sie Endpunktüberwachung auf Anzeichen für Aktivitäten nach einer Ausnutzung, und mit einem Incident-Response-Retainer steht ein etablierter Reaktionsweg bereit, falls ein Gerät nachweislich betroffen ist.