Apple WebKit: Typverwechslung ermöglicht Ausführung von Schadcode über Webinhalte
Zusammenfassung
Eine Typverwechslung in WebKit, der Browser-Engine von Safari und den meisten In-App-Browsern auf Apple-Geräten, betrifft Safari, iOS, iPadOS, macOS und visionOS vor den korrigierten Versionen. Ein Angreifer kann dies ausnutzen, indem ein Benutzer dazu gebracht wird, eine manipulierte Webseite zu öffnen, was zur Ausführung von beliebigem Schadcode führen kann. Der CVSS-Wert von 8.8 stammt aus den bereitgestellten CVE-Daten; die Analyse durch NVD war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- Safari vor 27.2
- iOS vor 26.7.2 und iOS vor 27.2
- iPadOS vor 26.7.2 und iPadOS vor 27.2
- macOS vor Golden Gate 27.2
- visionOS vor 27.2
- Genaue Build-Nummern: Unbekannt.
Behoben in
- Safari 27.2
- iOS 26.7.2 und iOS 27.2
- iPadOS 26.7.2 und iPadOS 27.2
- macOS Golden Gate 27.2
- visionOS 27.2
- Eine sekundäre Quelle nennt zusätzlich macOS Tahoe 26.7.2 und macOS Sequoia 15.8.2; vor einer Verwendung auf den Sicherheitsseiten von Apple prüfen.
Umgehung
- Keine Workaround-Massnahme nötig, sofern die korrigierten Versionen installiert sind.
- Keine vom Hersteller dokumentierte Massnahme für ungepatchte Systeme gefunden. Unbekannt.
Ausnutzung
- Apple meldet keine aktive Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog; direkt im Katalog der CISA prüfen.
Unsere Empfehlung
- Safari, iOS, iPadOS, macOS und visionOS auf allen verwalteten Apple-Geräten auf die korrigierten Versionen aktualisieren.
- Sicherstellen, dass automatische Updates aktiviert sind, und jedes Gerät prüfen, da Background Security Improvements diese Korrektur möglicherweise nicht abdecken.
- Mitarbeitende daran erinnern, keine unbekannten Links zu öffnen.
- Den NVD-Eintrag und den CISA-KEV-Katalog auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple Security Content of iOS 26.7.2 and iPadOS 26.7.2 support.apple.com
- Apple Security Content of iOS 27.2 and iPadOS 27.2 support.apple.com
- Apple Security Content (macOS/visionOS advisory) support.apple.com
- Apple Security Content (advisory) support.apple.com
- Apple Security Content of Safari 27.2 support.apple.com
- Apple WebKit features for Safari 27.2 webkit.org
- Cybersecurity News: Apple iOS 27.2 released cybersecuritynews.com
- Strix CVE-2026-112659 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.