Apple WebKit: Use-after-free ermöglicht Codeausführung über Webinhalte

Zusammenfassung

Ein Use-after-free-Fehler in der WebKit-Engine von Apple betrifft Safari und weitere WebKit-basierte Browser auf iOS, iPadOS, macOS, tvOS, visionOS und watchOS. Ein Angreifer kann eine manipulierte Webseite erstellen, die bei Aufruf zur Ausführung beliebigen Codes führen kann. Voraussetzung ist, dass der Benutzer die schädliche Webseite besucht oder mit ihr interagiert.

Betroffen

• Safari vor 27.2
• iOS und iPadOS vor 26.7.2 und vor 27.2
• macOS, tvOS, visionOS und watchOS vor 27.2
• Linux-WebKitGTK-Pakete: Amazon Linux 2 webkitgtk4 Korrektur ausstehend, webkitgtk3 keine Korrektur geplant (Drittangaben, nicht gegen Apple geprüft)

Behoben in

• Safari 27.2
• iOS 26.7.2 und iPadOS 26.7.2; iOS 27.2 und iPadOS 27.2
• macOS Golden Gate 27.2
• tvOS 27.2, visionOS 27.2, watchOS 27.2
• Genaue Build-Nummern: Unbekannt.

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden; das Einspielen der Updates ist die Korrektur.

Ausnutzung

• Zum Zeitpunkt der Recherche nicht im Katalog der bekannt ausgenutzten Schwachstellen (KEV) der CISA aufgeführt.
• CISA-SSVC-Daten zeigen Exploitation: none und nicht automatisierbar.
• VulDB gibt an, dass kein Exploit verfügbar ist; kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Safari und alle Apple-Geräte (iPhone, iPad, Mac, Apple Watch, Vision Pro) auf die korrigierten Versionen aktualisieren; automatische Updates oder MDM-Durchsetzung aktivieren.
• Unterwegs genutzte Geräte und Geräte mit WebKit-basierten In-App-Browsern priorisieren.
• Linux-Systeme auf WebKitGTK-Pakete prüfen und auf Herstellerkorrekturen achten.
• Meldungen über Ausnutzung und Aufnahmen in den KEV-Katalog der CISA beobachten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apple Safari 27.2 security content support.apple.com
• Apple iOS 27.2 and iPadOS 27.2 security content support.apple.com
• Apple iOS 26.7.2 and iPadOS 26.7.2 security content support.apple.com
• OpenCVE CVE-2026-112655 app.opencve.io
• VulDB CVE-2026-112655 vuldb.com
• SUSE CVE record via Vulners vulners.com
• Strix CVE-2026-112655 www.strix.ai
• Mallory: Amazon Linux WebKitGTK status mallory.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:25.