Apple iOS, iPadOS, macOS: Use-after-free ermöglicht Codeausführung im Kernel
Zusammenfassung
Eine Use-after-free-Schwachstelle in Apple iOS, iPadOS und macOS erlaubt es einer App, beliebigen Code mit Kernel-Privilegien auszuführen. Der Angreifer benötigt eine lokal auf dem Gerät laufende App mit niedrigen Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Apple hat die Schwachstelle in den unten aufgeführten Updates behoben, eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- iOS und iPadOS vor 26.7 und vor 27
- macOS vor 15.8, vor 26.7.2 und vor 27
- Genaue Build-Nummern: Unbekannt.
Behoben in
- iOS 26.7 und iPadOS 26.7
- iOS 27 und iPadOS 27
- macOS Golden Gate 27
- macOS Sequoia 15.8
- macOS Tahoe 26.7.2
- iOS 26.7.2 ist für diese CVE nicht als Korrektur aufgeführt; verwenden Sie iOS 26.7 oder neuer.
Umgehung
Unbekannt. Apple dokumentiert als Massnahme nur das Software-Update.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- SSVC-Daten der CNA: Ausnutzung keine, automatisierbar nein.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Installieren Sie die oben aufgeführten korrigierten Versionen auf allen iPhones, iPads und Macs und überprüfen Sie den Patch-Stand über MDM oder Inventar.
- Beschränken Sie die Installation nicht vertrauenswürdiger Apps auf verwalteten Geräten.
- Beobachten Sie Änderungen des KEV-Status und prüfen Sie den vollständigen Apple-Advisory auf die betroffene Komponente.
- Priorisieren Sie gemeinsam genutzte Geräte und Flotten, auf denen Benutzer Apps frei installieren können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple: About the security content of iOS 27 and iPadOS 27 support.apple.com
- Apple: About the security content of macOS Golden Gate 27 support.apple.com
- Apple: iOS 26.7 security content support.apple.com
- Apple: macOS Tahoe 26.7.2 security content support.apple.com
- OpenCVE: CVE-2026-86916 app.opencve.io
- Strix: CVE-2026-86916 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.