Apple WebKit (Safari): Use-after-free ermöglicht beliebige Codeausführung

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Browser-Engine WebKit von Apple, die Safari und viele In-App-Browser antreibt, ermöglicht beliebige Codeausführung. Ein Angreifer kann sie auslösen, indem er einen Benutzer dazu bringt, eine manipulierte Webseite zu öffnen; Berechtigungen sind keine nötig. Apple hat das Problem in den Versionen 27.2 behoben. Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend, und der CVSS-Wert 8.8 stammt aus NVD-Daten.

Betroffen

• Safari vor 27.2
• iOS und iPadOS vor 27.2
• macOS vor Golden Gate 27.2 (macOS 27.2)
• tvOS, visionOS und watchOS vor 27.2

Behoben in

• Safari 27.2
• iOS 27.2 und iPadOS 27.2
• macOS Golden Gate 27.2
• tvOS 27.2, visionOS 27.2 und watchOS 27.2

Umgehung

Unbekannt. Kein vom Hersteller dokumentierter Workaround. Patch einspielen.

Ausnutzung

• Apple hat keine Ausnutzung gemeldet.
• Nicht im CISA-KEV-Katalog aufgeführt (laut Drittquelle).
• SSVC-Daten des CNA: Exploitation none, Automatable no.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Safari und alle Apple-Geräte über Software-Update auf die oben genannten Versionen aktualisieren.
• iPhones, iPads und Macs priorisieren, die zum Surfen oder für Apps mit eingebetteten Webansichten genutzt werden.
• Die Zuordnung der Komponente in den Apple-Advisories prüfen, bevor man sich darauf verlässt, da die Platzierung der CVE-ID im Advisory-Text nicht vollständig bestätigt werden konnte.
• Auf weitere Apple-Updates und Berichte zu Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apple Security Content of Safari 27.2 (WebKit) support.apple.com
• Apple Security Content of macOS Golden Gate 27.2 support.apple.com
• HKCERT security bulletin on Apple products www.hkcert.org
• OpenCVE entry for CVE-2026-112637 app.opencve.io
• Strix CVE entry for CVE-2026-112637 www.strix.ai
• Cybersecurity News: Apple iOS 27.2 released cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:27.