Die als CVE-2026-86950 geführte Lücke ist ein Out-of-bounds-Write im Framework CoreGraphics, das unter iOS, macOS, iPadOS, watchOS und tvOS für zweidimensionale Vektorgrafik, Textdarstellung und Bildverarbeitung zuständig ist. Entdeckt wurde sie von Meta Product Security. Solche Schreibzugriffe außerhalb des zugewiesenen Speicherbereichs können Programme zum Absturz bringen, Daten beschädigen oder zur Ausführung von Schadcode aus der Ferne führen.

„Apple ist ein Bericht bekannt, wonach dieses Problem in einem äußerst raffinierten Angriff gegen bestimmte gezielt ausgewählte Personen auf iOS-Versionen vor iOS 27 ausgenutzt worden sein könnte", erklärte das Unternehmen am Montag. „Die Verarbeitung einer bösartig präparierten Datei kann zur Ausführung beliebigen Codes führen. Das Out-of-bounds-Write-Problem wurde durch verbesserte Bereichsprüfungen behoben."

Bereits im September hatte Apple dieselbe Schwachstelle für Geräte mit iOS 26.7.1 und iPadOS 26.7.1, macOS Tahoe 26.7.1 sowie macOS Sequoia 15.8.1 geschlossen. Mit den Updates dieser Woche ist die Lücke nun auch auf folgenden Geräten behoben:

  • iPhone XS, iPhone XS Max und iPhone XR
  • iPad der 7. Generation
  • iPad Air der 4. Generation und neuer
  • iPad der 9. Generation und neuer
  • iPad mini der 6. Generation und neuer

Obwohl Apple die Ausnutzung auf hochgradig gezielte Angriffe beschränkt sieht, wird die Installation der nachgereichten Aktualisierungen dringend empfohlen.

Damit hat Apple in diesem Jahr zwei aktiv ausgenutzte Zero-Days geschlossen. Der zweite, CVE-2026-20700, erlaubte die Ausführung beliebigen Codes in dyld, dem dynamischen Linker der Apple-Betriebssysteme, und wurde ebenfalls in „äußerst raffinierten" gezielten Angriffen eingesetzt; der Patch erschien im Februar.

Früher in diesem Jahr behob Apple zudem eine als hoch eingestufte Schwachstelle in den Beats Studio Buds (CVE-2025-20701), über die Angreifer in Bluetooth-Reichweite Gespräche von Nutzern mithören konnten. Außerdem erhielten ältere iPhones und iPads Patches gegen vier Schwachstellen, die in Cyberspionage- und Kryptodiebstahl-Angriffen mit dem Exploit-Kit Coruna ausgenutzt wurden.