Apple Safari: Use-after-free in WebKit ermöglicht Codeausführung

Zusammenfassung

Eine Use-after-free-Schwachstelle in WebKit, der Browser-Engine hinter Safari und weiteren Browsern auf Apple-Geräten, ermöglicht die beliebige Ausführung von Code. Ein Angreifer kann sie ausnutzen, indem er einen Benutzer dazu bringt, manipulierte Webinhalte zu öffnen, zum Beispiel über einen bösartigen Link. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch), und es sind keine Berechtigungen erforderlich.

Betroffen

• Safari vor 27.2
• iOS und iPadOS vor 26.7.2 und vor 27.2
• macOS, tvOS, visionOS und watchOS vor 27.2
• Genaue macOS-Build-Nummern für ältere macOS-Zweige: Unbekannt.

Behoben in

• Safari 27.2
• iOS 26.7.2 und iPadOS 26.7.2
• iOS 27.2 und iPadOS 27.2
• macOS Golden Gate 27.2
• tvOS 27.2, visionOS 27.2, watchOS 27.2

Umgehung

Unbekannt. Es ist kein dokumentierter Workaround bekannt; das Software-Update einspielen.

Ausnutzung

• Apple hat keine aktive Ausnutzung gemeldet.
• Nicht im KEV-Katalog der CISA aufgeführt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• EPSS liegt unter 1%.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist nicht abschliessend.

Unsere Empfehlung

• Safari, iOS, iPadOS, macOS und weitere Apple-Geräte auf die oben genannten korrigierten Versionen aktualisieren; Mobilgeräte und Macs, die zum Surfen oder für E-Mails genutzt werden, zuerst aktualisieren.
• Auf der Seite der Apple-Sicherheitsupdates prüfen, ob iOS 18.7.x oder ältere macOS-Zweige betroffen sind.
• Geräte, die nicht aktualisiert werden können, nicht für das Surfen auf nicht vertrauenswürdigen Seiten verwenden.
• Auf Berichte über aktive Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apple Security Content: Safari 27.2 support.apple.com
• Apple Security Content: iOS 27.2 and iPadOS 27.2 support.apple.com
• Apple Security Content: iOS 26.7.2 and iPadOS 26.7.2 support.apple.com
• Apple Security Releases support.apple.com
• OpenCVE: CVE-2026-112626 app.opencve.io
• Strix: CVE-2026-112626 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:28.