Apple Xcode: Sandbox-Ausbruch durch fehlende Bibliotheksvalidierung
Zusammenfassung
Apple Xcode vor Version 27 erzwingt bei einigen betroffenen Binaries keine Bibliotheksvalidierung. Eine boesartige App auf demselben Mac kann daher moeglicherweise ihre Sandbox verlassen. Der Angreifer benoetigt lokalen Zugriff und niedrige Berechtigungen, und es muss eine boesartige App auf dem System laufen.
Betroffen
- Apple Xcode-Versionen vor 27 (CNA-Eintrag: betroffen 0 bis < 27)
- Herstellerhinweis: Xcode verfuegbar fuer macOS Tahoe 26.6 und neuer
Behoben in
- Apple Xcode 27 (Hinweis veroeffentlicht am 14. September 2026)
- Backports in aeltere Xcode-Zweige: Unbekannt.
Umgehung
Der Hersteller dokumentiert keine Workaround-Massnahme. Die Loesung ist das Update auf Xcode 27.
- Bis die Systeme aktualisiert sind, keine unbekannten Apps oder ungeprueften Entwicklungswerkzeuge auf Macs mit Xcode installieren oder ausfuehren.
Ausnutzung
- Es ist kein oeffentlicher Exploit oder Proof of Concept bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog gelistet (laut Strix).
- EPSS-Wert 0.00146 (laut Vulners).
Unsere Empfehlung
- Macs mit installiertem Xcode erfassen.
- Xcode auf Version 27 auf macOS Tahoe 26.6 oder neuer aktualisieren.
- Richtlinie zur Installation und Ausfuehrung ungepruefter Entwicklungswerkzeuge und Apps durchsetzen.
- CVSS-Wert anhand des NVD-Eintrags pruefen, da VulDB die Schwachstelle tiefer (4.8) einstuft und bis Version 26 angibt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apple Support: About the security content of Xcode 27 support.apple.com
- VulDB: CVE-2026-86949 vuldb.com
- OpenCVE: CVE-2026-86949 app.opencve.io
- Vulners VulnRichment: CVE-2026-86949 vulners.com
- Strix: CVE-2026-86949 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.