Apple Safari/WebKit: Use-after-free ermöglicht Codeausführung
Zusammenfassung
Apple Safari und WebKit-basierte Komponenten auf iOS, iPadOS, macOS und visionOS enthalten eine Use-after-free-Speicherschwachstelle. Ein Angreifer kann durch manipulierte Webinhalte, die das Opfer öffnet, beliebigen Code ausführen. Der Angriff benötigt keine Berechtigungen, jedoch muss ein Benutzer aktiv werden, typischerweise indem er eine bösartige Seite aufruft.
Betroffen
- Safari vor 27.2
- iOS und iPadOS vor 26.7.2 und vor 27.2
- macOS vor 27.2 (macOS Golden Gate)
- visionOS vor 27.2
Behoben in
- Safari 27.2
- iOS 26.7.2 und iPadOS 26.7.2
- iOS 27.2 und iPadOS 27.2
- macOS Golden Gate 27.2
- visionOS 27.2
Umgehung
Unbekannt.
Ausnutzung
- Nicht in der CISA-KEV-Liste aufgeführt.
- CISA SSVC: Exploitation none, Automatable no.
- EPSS unter 1%.
- Die geprüften Apple-Advisories kennzeichnen diese Schwachstelle nicht als in freier Wildbahn ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Safari und alle Apple-Geräte ohne Verzug auf die korrigierten Versionen aktualisieren, Geräte mit Web-Browsing priorisieren.
- Die Apple-Advisories je Produkt prüfen, um den korrigierten Build zu bestätigen.
- Auf neue Apple-Sicherheitsupdates und Meldungen zu aktiver Ausnutzung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple Safari 27.2 security content support.apple.com
- Apple iOS 26.7.2 security content support.apple.com
- OpenCVE CVE-2026-112651 app.opencve.io
- Tenable plugin 372124 www.tenable.com
- Strix CVE-2026-112651 www.strix.ai
- MacRumors: iOS 27.2 security fixes www.macrumors.com
- TechRepublic: iOS 27.2 security flaws patched www.techrepublic.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.