Am 26. Oktober 2026 hat Apple iOS 18.7.11 und iPadOS 18.7.11 veröffentlicht – ein Sicherheitsupdate für ältere iPhone- und iPad-Modelle, das den Patch für die Schwachstelle CVE-2026-86950 in der Komponente CoreGraphics portiert. Diese Schwachstelle konnte nach Angaben von Apple in „äußerst ausgeklügelten Angriffen“ gegen bestimmte Zielpersonen ausgenutzt werden. Besitzer von iPhone XS, XS Max, XR und einer Reihe von iPad-Modellen sollten das Update umgehend installieren – der Patch schließt eine Lücke, durch die die Verarbeitung einer speziell gestalteten Datei zur Ausführung beliebigen Codes führen kann.
Technischer Kern der Schwachstelle
CVE-2026-86950 wird als out-of-bounds write klassifiziert (Schreiben außerhalb des Puffers, CWE-787 nach NVD). Die Schwachstelle betrifft die CoreGraphics-Teilsysteme – ein Framework, das in allen Betriebssystemen von Apple für die Verarbeitung grafischer Daten zuständig ist. Beim Öffnen einer speziell präparierten Datei erhält ein Angreifer die Möglichkeit, beliebigen Code auf dem Gerät des Opfers auszuführen.
Die Bewertung nach CVSS 3.1 beträgt 8.8 (High). Wichtiger Hinweis: Dieser Score wurde von CISA-ADP vergeben, nicht von der NVD – eine eigene Bewertung der NVD lag zum Zeitpunkt der Veröffentlichung noch nicht vor. Der Angriffsvektor ist netzwerkbasiert, mit niedriger Ausnutzungskomplexität und ohne erforderliche Privilegien, er erfordert jedoch eine Benutzerinteraktion (Öffnen der Datei).
Ursprünglich hat Apple diese Schwachstelle am 28. September 2026 in iOS 26.7.1 und iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1 behoben. Diese Updates deckten jedoch nur Geräte ab, die die aktuellen Betriebssystemzweige unterstützen. Nun wurde der Fix auf den älteren 18.x-Zweig ausgedehnt, womit die Lücke für Besitzer älterer Modelle geschlossen wird.
Welche Geräte sind betroffen
Das Update iOS 18.7.11 und iPadOS 18.7.11 ist vorgesehen für:
- iPhone XS, iPhone XS Max, iPhone XR
- iPad der 7. Generation
- iPad Air der 4. Generation und neuer
- iPad der 9. Generation und neuer
- iPad mini der 6. Generation und neuer
Besitzer neuerer Geräte, die iOS 27 unterstützen, sollten den Zweig 27.2 verwenden, der zeitgleich erschienen ist und Korrekturen für Hunderte von Schwachstellen enthält.
Ausnutzung und Bedrohungskontext
Apple berichtet, dass CVE-2026-86950 „in einer äußerst ausgeklügelten Attacke gegen bestimmte Zielpersonen auf iOS-Versionen vor iOS 27 verwendet worden sein könnte“. Die Formulierung ist vorsichtig – das Unternehmen spricht von einer möglichen, nicht von einer bestätigten Ausnutzung. Unabhängige Bestätigungen dieser Angriffe durch externe Forscher oder Regierungsbehörden wurden bislang nicht gefunden. Zur Attribution – wer hinter den Angriffen steht und wer Opfer wurde – werden keine Details offengelegt.
Wir haben bereits über diese Schwachstelle berichtet, als im September der erste Patch veröffentlicht wurde, und zudem den öffentlichen PoC-Exploit sowie mögliche Liefervektoren analysiert. Der aktuelle Backport ist die logische Fortsetzung dieser Entwicklung: Apple schließt das Zeitfenster der Verwundbarkeit für Geräte, die nach dem September-Update ungeschützt geblieben waren.
Weitere Korrekturen in iOS 18.7.11
Zusätzlich zu CVE-2026-86950 behebt das Update zwei weitere Schwachstellen:
- CVE-2026-65339 (Audio) – ein logischer Fehler, der einer App Zugriff auf vertrauliche Informationen des Nutzers ermöglicht.
- CVE-2026-86990 (CoreMedia) – eine Zugriffs-Schwachstelle, über die eine bösartige App die Kamera ohne Zustimmung des Nutzers aktivieren kann.
Besondere Beachtung verdient CVE-2026-86987 in der Komponente Apple Intelligence, die in iOS 27.2 und iPadOS 27.2 behoben wurde. Dabei handelt es sich um einen Autorisierungsfehler, der einem entfernten Angreifer Zugriff auf vertrauliche Daten verschaffen kann. Die Schwachstelle betrifft nur Geräte mit Unterstützung für Apple Intelligence (iPhone 15 Pro und neuer) und wurde daher nicht in den 18.x-Zweig aufgenommen.
Empfehlungen
Die Priorität für dieses Update ist hoch. Die konkreten Schritte hängen vom Gerätemodell ab:
- iPhone XS/XR, iPad der 7. Generation und andere oben aufgeführte Geräte – installieren Sie iOS/iPadOS 18.7.11 über „Einstellungen → Allgemein → Softwareupdate“.
- Geräte mit Unterstützung für iOS 27 – aktualisieren Sie auf iOS/iPadOS 27.2.
- Mac – stellen Sie sicher, dass macOS Tahoe 26.7.1 oder macOS Sequoia 15.8.1 (oder neuere Versionen) installiert sind.
Da die Schwachstelle CVE-2026-86950 über die Verarbeitung von Dateien ausgenutzt wird, sollten Sie bis zur Installation des Updates darauf verzichten, Anhänge und Dokumente aus nicht verifizierten Quellen zu öffnen – insbesondere Grafikdateien, die über Messenger oder E-Mail eingehen.
Der Backport des Patches auf den veralteten iOS-18.x-Zweig ist ein untypischer Schritt für Apple und unterstreicht die Schwere der Bedrohung. Besitzer betroffener Geräte sollten die Installation nicht aufschieben: Die Schwachstelle wurde bereits in realen Angriffen ausgenutzt, ein öffentlicher PoC ist verfügbar, und das Update steht jetzt bereit.
