Apple-Patch für ältere iPhones: iOS 18.7.11 schließt Zero-Day-Lücke

Apple hat mit der Veröffentlichung von iOS 18.7.11 und iPadOS 18.7.11 am 26. Oktober 2026 eine kritische Zero-Day-Sicherheitslücke für ältere Geräte geschlossen. Die Schwachstelle mit der Kennung CVE-2026-86950 betrifft die Grafikkomponente CoreGraphics und wurde nach Angaben des Herstellers möglicherweise bereits für gezielte Angriffe ausgenutzt.

Die Schwachstelle beruht auf einem Schreibfehler außerhalb der Speichergrenzen (Out-of-bounds Write, CWE-787) bei der Glyphen-Rasterisierung. Sie erreicht einen CVSS-Wert von 8.8. Durch das Verarbeiten einer speziell präparierten Datei war eine Ausführung von Schadcode möglich.

Der Angriffsvektor liegt im Netzwerkbereich, wobei die Komplexität als niedrig eingestuft wird. Zwar waren für einen erfolgreichen Angriff keine erweiterten Berechtigungen erforderlich, allerdings setzte die Ausnutzung eine Benutzerinteraktion voraus.

Entdeckt wurde das Problem vom Sicherheitsteam Meta Product Security. Apple teilte mit, dass die Schwachstelle möglicherweise im Rahmen extrem ausgefeilter Angriffe zielgerichtet gegen konkrete Personen eingesetzt wurde, die iOS-Versionen vor iOS 27 nutzten. Neuere Betriebssystemversionen wie iOS 27 und macOS 27 sind laut Apple hingegen nicht von CVE-2026-86950 betroffen.

Backport für ältere Hardware-Generationen

Während Apple neuere Geräte bereits am 28. September 2026 mit iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1 absicherte, erfolgte die Bereitstellung des Backports für ältere Generationen 28 Tage später.

Viele Nutzer übersehen nach der Installation von Updates kritische Sicherheitsoptionen, die ihre Privatsphäre zusätzlich schützen können. Ein Apple-Experte erklärt in diesem Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich absichern. Welche iPhone-Einstellung Sie nach jedem Update sofort überprüfen sollten

Der Erstpatch Ende September schützte Modelle ab dem iPhone 11, das iPad Pro 12.9 Zoll ab der 3. Generation, das iPad Pro 11 Zoll ab der 1. Generation sowie das iPad Air ab der 3. Generation, das iPad ab der 8. Generation und das iPad mini ab der 5. Generation.

Mit dem nun nachgereichten Update auf Version 18.7.11 erhalten weitere Geräte den notwendigen Schutz. Dazu zählen das iPhone XS, das iPhone XS Max und das iPhone XR. Bei den Tablets schließt das Update die Lücke auf dem iPad der 7. Generation, dem iPad Air ab der 4. Generation, dem iPad ab der 9. Generation sowie dem iPad mini ab der 6. Generation.

Weitere Lücken behoben und parallele Updates

Neben CVE-2026-86950 behebt das Softwarepaket für iOS und iPadOS 18.7.11 zwei weitere Sicherheitslücken. Unter CVE-2026-65339 wurde ein Fehler korrigiert, durch den eine Anwendung sensible Daten auslesen konnte.

Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte auch die grundlegenden Funktionen und Fachbegriffe seines Geräts sicher beherrschen. Dieses kostenlose Lexikon erklärt die wichtigsten Begriffe ohne Technik-Blabla und hilft Einsteigern, ihr Gerät besser zu verstehen. iPhone-Lexikon mit 53 Begriffen jetzt kostenlos herunterladen

CVE-2026-86990 verhinderte zudem einen unberechtigten Kamerazugriff durch Apps. Bei der CoreGraphics-Schwachstelle handelt es sich um den zweiten aktiv ausgenutzten Zero-Day-Fehler bei Apple im Jahr 2026, nachdem im Februar 2026 eine dyld-Lücke unter CVE-2026-20700 geschlossen worden war.

Detaillierte technische Angaben zu CVE-2026-86950 sind bislang nicht öffentlich. Laut CERT Santé liegt jedoch ein Funktionsnachweis (Proof-of-Concept) vor; Umgehungslösungen existieren nicht. Als wirksame Gegenmaßnahme gelten die Installationen von iOS und iPadOS ab Version 18.7.11 beziehungsweise ab Version 26.7.2 sowie von macOS Sequoia ab Version 15.8.2 und macOS Tahoe ab Version 26.7.2.

Zeitgleich veröffentlichte Apple am 26. Oktober 2026 weitere Aktualisierungen. Dazu gehört iOS und iPadOS 26.7.2, das insgesamt 134 Schwachstellen behebt, von denen keine als aktiv ausgenutzt eingestuft war.

Für Desktop-Systeme erschienen macOS Tahoe 26.7.2 und macOS Sequoia 15.8.2. Zudem brachte das Update tvOS 26.6.1 Unterstützung für die Siri Remote der 4. Generation auf dem Apple TV HD sowie dem Apple TV 4K der 1. Generation. Vor dem Hintergrund der aktiven Ausnutzung wird eine zeitnahe Aktualisierung von älteren Systemen auf die neuen Versionen dringend empfohlen.

Mehr zum Thema bei BleepingComputer: „Apple backports CoreGraphics zero“