Apple macOS: Unzureichende Authentifizierung führt zu Codeausführung
Zusammenfassung
Apple macOS enthält eine Schwachstelle bei der Authentifizierung (CWE-287), die Apple in macOS Golden Gate 27.2 behoben hat. Gemäss NVD-Eintrag könnte ein entfernter Angreifer ohne Berechtigungen und ohne Benutzerinteraktion beliebigen Code ausführen, wobei die Angriffskomplexität als hoch eingestuft ist. Die betroffene Komponente ist in den verfügbaren Quellen nicht genannt, und die Beschreibung von Apple ist allgemein gehalten.
Betroffen
- macOS Golden Gate Versionen vor 27.2 (gemäss Apple CNA-Eintrag)
- Tahoe 26.x und Sequoia 15.x: Unbekannt
Behoben in
- macOS Golden Gate 27.2 (veröffentlicht am 26. Oktober 2026)
- Tahoe 26.7.2 und Sequoia 15.8.2: Unbekannt, ob diese Updates die Behebung enthalten
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; das Update ist zu installieren.
Ausnutzung
- Apple hat keine Angaben zur Ausnutzung veröffentlicht.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof-of-Concept gefunden. Aufnahme in den CISA-KEV-Katalog nicht verifiziert.
Unsere Empfehlung
- Verwaltete Macs via MDM oder Softwareaktualisierung auf macOS Golden Gate 27.2 aktualisieren; Geräte mit Netzwerkexposition priorisieren.
- Behebung für Tahoe- und Sequoia-Geräte bestätigen, die auf diesen Versionen bleiben.
- Vor der finalen Risikobewertung die Apple-Meldung auf die betroffene Komponente prüfen.
- Auf Berichte zu Ausnutzung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple Security Content of macOS Golden Gate 27.2 support.apple.com
- OpenCVE CVE-2026-112427 app.opencve.io
- Strix CVE-2026-112427 www.strix.ai
- VulDB entry 426643 vuldb.com
- Eclectic Light: macOS Golden Gate 27.2 release eclecticlight.co
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.