Apple-Updates iOS 26.5: Dutzende Sicherheitslücken geschlossen

Apple hat am Montagabend umfangreiche Sicherheitsupdates für iPhone, iPad, Mac, Vision Pro, Apple TV und Apple Watch veröffentlicht. Die neuen Versionen stopfen zahlreiche Lücken – ein Blick in die bereitgestellten Sicherheitshinweise zeigt Dutzende behobene Schwachstellen.

Besonders umfangreich fällt iOS 26.5 und iPadOS 26.5 aus: Über 50 Fehlerbehebungen sind darin enthalten. Hinzu kommen mehr als 20 weitere Fixes, zu denen Apple keine näheren Angaben macht – eine Praxis, die regelmäßig kritisiert wird.

Berichte über bereits aktiv ausgenutzte Sicherheitslücken liegen dem Konzern nach eigenen Angaben nicht vor. Dennoch erlaubten drei der behobenen Bugs Remote-Angriffe: einen Denial-of-Service, einen Systemabsturz mit Kernel-Speicher-Korruption sowie das Abschießen von Apps.

Im Kernel steckte ein Fehler, mit dem Angreifer Root-Privilegien erlangen konnten. Auch die mDNSResponder-Routine wies mehrere Schwachstellen auf. Weitere betroffene Bereiche umfassen Accounts, das Dateisystem APFS, WidgetKit und die Komprimierungsbibliothek zlib.

Im Browser Safari schloss Apple zudem mehrere WebKit-Fehler. Diese betreffen unter anderem die Verarbeitung von Webinhalten und könnten für Cross-Site-Scripting oder die Offenlegung von Daten ausgenutzt werden.

macOS 26.5 liefert ein ähnlich dickes Bugfix-Paket wie die mobilen Betriebssysteme. Auch hier gibt es fast zwei Dutzend nicht näher eingeordnete Fehler. Fünf Schwachstellen sind aus der Ferne angreifbar, darunter eine teilweise Umgehung des Lockdown-Modus (Apple Mail lädt Bilder nach) und ein Absturz via SMB.

Die Updates für tvOS 26.5, watchOS 26.5 und visionOS 26.5 enthalten die Fehlerbehebungen aus den anderen Versionen, sofern die betroffenen Routinen auf den Geräten vorhanden sind. Auch hier liegen keine Berichte über bereits erfolgte Angriffe vor, dafür mehrere Remote-Lücken.

Einige der behobenen Lücken sind auch in macOS 15.7.7 und macOS 14.8.7 geschlossen – allerdings nicht alle. Ärgerlich: Apple hat die neue Safari-Version für ältere macOS-Systeme erst mit Verzögerung freigegeben. Nutzer von macOS 14 und 15 mussten rund 48 Stunden mit mehr als zehn bekannten WebKit-Sicherheitslücken auskommen, ohne aktualisieren zu können.

Parallel hat Apple auch ältere iOS- und iPadOS-Versionen aktualisiert: iOS 18.7.9 für iPhone XS, XS Max, XR und iPad 7. Generation, iPadOS 17.7.11 für mehrere ältere iPads sowie iOS 15.8.8, iPadOS 15.8.8, iOS 16.7.16 und iPadOS 16.7.16. Diese Updates beheben jedoch lediglich die kritischsten Fehler.

Wer den vollständigen Schutz wünscht, muss auf iOS 26.5 und die entsprechenden Schwesterversionen wechseln – sofern die Geräte noch unterstützt werden. Apple hat die Updates für alle betroffenen Modelle parallel veröffentlicht.

Am Mittwochabend gab Apple schließlich Safari 26.5 für macOS Sonoma und macOS Sequoia frei – mit zwei Tagen Verzögerung. Der Konzern hat bereits mehrfach so gehandelt; die Gründe bleiben unklar. Damit war der Browser auf den genannten Systemen über 48 Stunden mit bekannten WebKit-Schwachstellen im Einsatz, darunter Absturzfehler und Datenabfluss-Bugs.