Am 30. September 2026 veröffentlichten Forschende des Unternehmens Calif den ersten öffentlichen Proof-of-Concept für die Schwachstelle CVE-2026-86950 – einen Fehler vom Typ Out-of-Bounds Write (CWE-787) im Apple-Framework CoreGraphics. Apple hat das Problem am 28. September behoben und angegeben, dass es „in äußerst komplexen Angriffen gegen gezielte Opfer hätte ausgenutzt werden können“ – auf iOS-Versionen vor iOS 27. Die Schwachstelle betrifft iPhone, iPad und Mac; Patches stehen in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1 zur Verfügung. Wir haben bereits über diese Schwachstelle berichtet, als der Patch erschien – nun gibt es neue technische Details und Fragen zu einem möglichen Liefervektor.
Technischer Kern der Schwachstelle
CoreGraphics ist das systemweite Apple-Framework für 2D-Zeichnung, Bild-Rendering und PDF-Verarbeitung. Laut dem Bericht der Forschenden von Calif ergab der Vergleich der Binärdateien von iOS 26.7 und 26.7.1, dass CoreGraphics die einzige geänderte Bibliothek war – und dass derselbe Fix mehr als 20-mal in acht Funktionen des Rasterizers angewendet wurde.
Der Kern des Bugs liegt in der uneinheitlichen Behandlung der Glyphenkoordinaten bei der Konvertierung von einem Gleitkommaformat in einen 32-Bit-Festkommawert. Zwei der acht Funktionen behandelten einen Wertebereichsüberlauf unterschiedlich: eine Funktion „sättigte“ das Ergebnis, die andere schnitt es ab. Dadurch wurde das Bounding Box (begrenzende Rechteck) der Glyphe kleiner als erforderlich. CoreGraphics reservierte daraufhin einen Arbeitspuffer mit zu geringer Größe und schrieb anschließend Daten hinter dessen Ende.
Nach Angaben der GitHub Advisory Database erhielt die Schwachstelle eine Bewertung von CVSS 8.8 (High). Apple veröffentlicht in seinen Sicherheitshinweisen keine CVSS-Bewertungen.
Was der PoC zeigt – und was nicht
Um den Bug auszulösen, erstellten die Forschenden eine TrueType-Schriftart mit Koordinaten, die groß genug für ein Überlaufen sind, und betteten sie in eine PDF-Datei ein. Eine verschachtelte Skalierung zusammengesetzter Glyphen über die Textmatrix verschiebt die Koordinaten über den zulässigen Bereich hinaus. Die Generierungsskripte und eine Beispiel-PDF sind laut Bericht im öffentlichen Repository auf GitHub abgelegt.
Hier ist eine klare Abgrenzung wichtig: Der veröffentlichte PoC verursacht einen kontrollierten Absturz (Crash) und demonstriert den Out-of-Bounds-Write, zeigt aber keine Ausführung beliebigen Codes. Die Forschenden von Calif weisen ausdrücklich darauf hin, dass die Umwandlung dieses Primitivs in einen funktionierenden Exploit eine separate Aufgabe ist, die ihre Analyse nicht löst. Gleichzeitig gibt Apple in seinem Sicherheitshinweis an, dass die Verarbeitung einer schädlichen Datei „zur Ausführung beliebigen Codes hätte führen können“. Diese Diskrepanz ist kein Widerspruch: Apple beschreibt die potenzielle Auswirkung der Schwachstelle, Calif hingegen die Grenzen seiner Demonstration.
Die Forschenden merken außerdem an, dass sie kein Exploit-Beispiel erhalten haben, das in realen Angriffen eingesetzt wurde, und nicht sagen können, wie Angreifer die Exploit-Kette vollendet haben. Es wurden keine Netzindikatoren, keine Angreiferkennungen und keine Namen von Payloads veröffentlicht.
Die WhatsApp-Hypothese: Indizien, aber kein Beweis
Besondere Aufmerksamkeit verdient die Frage nach einem möglichen Liefervektor. Apple nannte Meta Product Security als Quelle für die Entdeckung der Schwachstelle, was Calif dazu veranlasste, WhatsApp näher zu untersuchen. Beim Vergleich zweier Versionen des Messengers (26.37.73 und 26.38.74) fanden die Forschenden neuen Code im Attachment-Scanner Kaleidoscope: Die neuere Version prüft PDF-Dateien auf eingebettete Schriftströme und markiert verdächtige Dateien mit den Tags MalformedFontProgram, UndecodableFontProgram und UnverifiedFontProgram, wobei der automatische Parser für entsprechend markierte Dateien blockiert wird.
Calif bezeichnete diese Änderungen als indirekte Indizien, die auf WhatsApp als möglichen Liefervektor hindeuten. Die veröffentlichte Analyse testete den Zustellpfad über WhatsApp jedoch nicht. Zudem enthielt die ursprüngliche Fassung des Berichts eine Aussage über die Möglichkeit der Zustellung über den Messenger, die jedoch 85 Minuten nach der Veröffentlichung entfernt wurde – Calif-CEO Tai Duong bezeichnete die Änderung als Entfernung von Spekulationen über WhatsApp.
Die endgültige Formulierung von Calif lässt die Frage offen, ob die Schwachstelle „mit zusätzlichen Schwachstellen in WhatsApp kombiniert wurde, um Parsing mit geringerem Benutzer-Interaktionsaufwand zu erreichen“. Eine solche Formulierung impliziert, dass der untersuchte Pfad Benutzeraktionen oder zusätzliche Schwachstellen in der Kette erfordert hätte. WhatsApp hat keine Sicherheitshinweise veröffentlicht, die diesen Bug mit den eigenen Produkten verknüpfen. Meta beantwortete bis zur Veröffentlichung keine Anfragen von Journalist:innen.
Asymmetrie in der Beschreibung der betroffenen Versionen
Es lohnt sich, auf eine Asymmetrie in den Sicherheitshinweisen von Apple zu achten. Das Unternehmen begrenzt die Beschreibung der Ausnutzung explizit auf iOS-Versionen vor iOS 27; iOS 27 und macOS Golden Gate 27 werden nicht als betroffen aufgeführt. Gleichzeitig wurden Patches für zwei macOS-Zweige veröffentlicht – macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1 –, ohne dass angegeben wird, welche macOS-Versionen genau verwundbar waren. Für Administrator:innen von macOS-Umgebungen bleibt damit eine gewisse Unklarheit bestehen.
Reaktion und Zeitrahmen
CISA hat CVE-2026-86950 in den KEV-Katalog am 29. September 2026 aufgenommen und für US-Bundesbehörden eine Frist bis zum 2. Oktober festgelegt. De facto blieb den Behörden damit nur ein sehr kleines Zeitfenster zur Einspielung des Patches. Apple hat nicht angegeben, ob der Lockdown Mode den Liefervektor blockiert, der in den dokumentierten Angriffen verwendet wurde.
Empfehlungen
- Aktualisieren Sie umgehend Apple-Geräte auf iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 oder macOS Sequoia 15.8.1 – die Schwachstelle wird nachweislich in realen Angriffen ausgenutzt.
- Priorisieren Sie Geräte mit iOS unter 27 – genau für diese bestätigt Apple die Ausnutzung.
- Aktualisieren Sie WhatsApp auf Version 26.38.74 oder neuer – dort wurden zusätzliche Prüfungen für eingebettete Schriftarten in PDF-Anhängen eingeführt, auch wenn der Zusammenhang mit CVE-2026-86950 offiziell nicht bestätigt ist.
- Für Geräte, die nicht sofort aktualisiert werden können: Apple beschreibt keine Workarounds. Ziehen Sie in Betracht, die Verarbeitung von PDF-Dateien aus nicht vertrauenswürdigen Quellen auf MDM-Policy-Ebene einzuschränken.
Die Veröffentlichung des PoC erhöht die Wahrscheinlichkeit, dass andere Forschende – oder Angreifer – das Out-of-Bounds-Write-Primitiv reproduzieren und weiterentwickeln. Noch demonstriert der PoC nur einen Crash und keinen vollwertigen Exploit, doch die Lücke zwischen einem Crash-Primitiv und einer funktionierenden Ausnutzung kann geschlossen werden. Die einzig verlässliche Maßnahme ist die Installation der von Apple am 28. September veröffentlichten Updates.
