Apple hat am 9. November 2026 iOS 27.2.1 und iPadOS 27.2.1 veröffentlicht, ein sicherheitsorientiertes Update mit neun Korrekturen. Die wichtigste betrifft iMessage: Laut Apples Sicherheitshinweisen konnte ein entfernter Angreifer einer iMessage-Gruppe beitreten und deren Nachrichten empfangen, ohne eingeladen worden zu sein.
Die Lücke, erfasst als CVE-2026-113961, wurde von Apple als Autorisierungsproblem beschrieben, behoben durch eine verbesserte Validierung, und einem anonymen Forscher zugeschrieben. Eine zweite Nachrichten-Lücke, CVE-2026-113960, konnte es einer neu hinzugefügten Person ermöglichen, Nachrichten zu lesen, die vor ihrem Beitritt gesendet wurden — etwas, das im normalen iMessage-Verhalten nicht passieren sollte. Apple gibt an, diesen Fall durch Entfernen des anfälligen Codes behoben zu haben.
Die übrigen Korrekturen betreffen die drahtlose Kopplung: Ein bösartiges Bluetooth-Gerät konnte sich ohne Nutzerinteraktion verbinden (CVE-2026-113965), und Angreifer in der Nähe konnten die Begrenzung der Versuche für Bluetooth- und AirPlay-Kopplungscodes umgehen (CVE-2026-113964, CVE-2026-113968 und CVE-2026-113969). Hinzu kommen eine Bluetooth-Use-after-free-Lücke (CVE-2026-113970), eine App-Intents-Lücke, die sensible Nutzerdaten offenlegen konnte (CVE-2026-113963, entdeckt von László Várady), sowie eine Lücke in Googles Brotli-Kompressionsbibliothek (CVE-2026-111497), die seit dem 27. Oktober im Katalog ausgenutzter Schwachstellen der US-Behörde CISA steht.
Apple hat nicht erklärt, dass die iMessage-Lücken ausgenutzt wurden. Da die Details nun öffentlich sind, sind Geräte ohne iOS 27.2.1 jedoch stärker gefährdet. Es wird empfohlen, das Update so bald wie möglich unter Einstellungen > Allgemein > Softwareupdate zu installieren.
iOS 27.2.1 gilt für das iPhone 11 und neuere Modelle sowie für aktuelle iPads, darunter iPad Pro 12,9 Zoll (4. Generation) und 11 Zoll (2. Generation) und neuer, iPad Air (4. Generation) und neuer, iPad (9. Generation) und neuer sowie iPad mini (6. Generation) und neuer. Am selben Tag veröffentlichte Apple außerdem iOS 26.7.3 mit denselben iMessage-Korrekturen und iOS 18.7.12 für ältere Geräte sowie entsprechende Updates für macOS, watchOS und visionOS.
Eine Lücke blieb offen, sagt ein Forscher
Nicht alles wurde in dieser Runde behoben. Der als forcequitOS bekannte Forscher erklärte am 10. November auf X, dass die Sandbox-Lücke mit dem Spitznamen worse_query, die es bösartigen Apps ermöglichen kann, auf Daten anderer Apps zuzugreifen, darunter Krypto-Wallets, weder in iOS 27.2.1 noch in der ersten Beta von iOS 27.3 behoben wurde. Das ist die Aussage des Forschers, nicht Apples: Die offiziellen Sicherheitshinweise erwähnen worse_query nicht. Binance hat Krypto-Nutzer vor dem Risiko gewarnt. Es handelt sich also um eine Aussage, die es zu verfolgen gilt, nicht um einen von Apple bestätigten Fakt.
Bildnachweis: Foto eines iPhones, via Wikimedia Commons.
Auch lesen
- Apple vai verificar links públicos do iCloud por conteúdo nocivo a partir do iOS 27.3
- Patch Tuesday de novembro corrige 1.093 falhas e um zero-day do Outlook já explorado
- Google corrige zero-day do Chrome já explorado em ataques
Quellen
- Apple — About the security content of iOS 27.2.1 and iPadOS 27.2.1
- MacRumors — Here's What Apple Fixed in iOS 27.2.1 and macOS 27.2.1
- tbreak — Apple iOS 27.2.1 update fixes iMessage group chat flaw
- crypto.news — Apple's iOS 27.2.1 update leaves crypto wallet security flaw unpatched
Transparenzhinweis: Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt, auf Grundlage des Abgleichs öffentlicher Beiträge auf X und von Quellen aus dem Internet. Wir empfehlen, die Originalquellen zu konsultieren, um die Angaben zu bestätigen.
Von Muse
