Apple WebKit: Beliebige Codeausführung durch Type Confusion in Webinhalten

Zusammenfassung

Eine Type-Confusion-Schwachstelle in WebKit, der Browser-Engine von Safari und In-App-Browsern auf Apple-Plattformen, betrifft Safari, iOS, iPadOS, macOS und visionOS vor Version 27. Ein Angreifer, der einen Benutzer dazu bringt, manipulierte Webinhalte zu verarbeiten, kann unter Umständen beliebigen Code ausführen. Es sind keine Benutzerrechte nötig, das Opfer muss jedoch mit den Inhalten interagieren. Es wurden weder Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gemeldet.

Betroffen

• Safari-Versionen vor 27
• iOS- und iPadOS-Versionen vor 27
• macOS-Versionen vor 27 (macOS Golden Gate 27-Linie)
• visionOS-Versionen vor 27
• Red Hat führt eine WebKitGTK-Komponente mit demselben Problem; RHEL 6 und 7 sind als betroffen aufgeführt (Momentaufnahme, möglicherweise veraltet)

Behoben in

• Safari 27, iOS 27, iPadOS 27, macOS Golden Gate 27 und visionOS 27 oder neuer
• Genaue Build-Nummern der Korrektur: Unbekannt. Vor einer Meldung des Patchstands in den Sicherheitshinweisen von Apple prüfen.

Umgehung

Unbekannt. Apple hat in den geprüften Quellen keine Workaround veröffentlicht. Das Einspielen des Updates ist die Behebung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Laut Strix nicht im CISA-KEV-Katalog aufgeführt
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Kein öffentlicher Proof of Concept gefunden
• EPSS ist niedrig (etwa 0,00335)

Unsere Empfehlung

• Safari, iOS, iPadOS, macOS und visionOS auf allen verwalteten Geräten auf Version 27 oder neuer aktualisieren
• Geräte mit Browsernutzung priorisieren und Mac-Safari sowie iOS als separate Inventareinträge führen
• Wo sich das Patchen verzögert, das Surfen auf unbekannten Websites auf ungepatchten Geräten einschränken; für Hochrisikobenutzer den Lockdown-Modus erwägen
• Linux-Systeme mit WebKitGTK-basierten Anwendungen prüfen und dort die Herstellerupdates einspielen
• Auf Meldungen zur Ausnutzung achten, da die NVD-Analyse noch ausstand

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apple security content of iOS 27 and iPadOS 27 support.apple.com
• Apple security content of macOS Golden Gate 27 support.apple.com
• Apple security content of Safari 27 support.apple.com
• GitHub Advisory GHSA-gm6q-c5mj-f444 github.com
• Strix CVE record CVE-2026-86922 www.strix.ai
• OpenCVE CVE-2026-86922 app.opencve.io
• VulDB exploit estimate 422626 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:40.