Apple iOS, iPadOS und macOS: Speicherfehler bei der Dateiverarbeitung in CoreMedia
Zusammenfassung
Ein Speicherfehler im Medien-Framework CoreMedia von Apple iOS, iPadOS und macOS kann durch das Verarbeiten einer präparierten Datei ausgelöst werden. Erfolgreiche Ausnutzung kann zu einem unerwarteten Absturz einer App oder zur Ausführung beliebigen Codes führen. Es ist keine Authentifizierung nötig, allerdings muss ein Benutzer die schädliche Datei öffnen oder verarbeiten. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- iOS und iPadOS vor 26.7 und vor 27.2 (Angaben des CNA)
- macOS vor 15.8.2, vor 26.7.2 und vor 27.2 (Angaben des CNA)
Behoben in
- iOS 26.7 und iPadOS 26.7
- iOS 27.2 und iPadOS 27.2
- macOS Golden Gate 27.2
- macOS Sequoia 15.8.2
- macOS Tahoe 26.7.2
Umgehung
Unbekannt. Apple dokumentiert keinen Workaround; Abhilfe schafft die Installation der korrigierten Versionen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Laut einem sekundären Tracker nicht in KEV gelistet (CISA nicht direkt geprüft)
- Kein öffentlicher Proof of Concept gefunden
- Apple meldet keine bekannte aktive Ausnutzung
Unsere Empfehlung
- Alle iPhone-, iPad- und Mac-Geräte auf die korrigierten Versionen aktualisieren, Updates wo möglich über MDM erzwingen
- Inventar auf Geräte mit Versionen unterhalb der korrigierten Stände prüfen
- Bis zur Behebung bei Medien-Dateien und Anhängen von unbekannten Absendern vorsichtig sein
- Herstellerhinweise auf Änderungen des Ausnutzungsstatus überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple Security Content of macOS Golden Gate 27.2 support.apple.com
- Apple Security Content of macOS Tahoe 26.7.2 support.apple.com
- Apple Security Content of iOS 27.2 and iPadOS 27.2 support.apple.com
- Apple Security Content of iOS 26.7 and iPadOS 26.7 support.apple.com
- Apple Security Content of macOS Sequoia 15.8.2 support.apple.com
- CVE-2026-112688 on CVEmon cvemon.intruder.io
- CVE-2026-112688 on Strix www.strix.ai
- SecurityWeek: iOS and macOS 27.2 patch 286 bugs www.securityweek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.