Die Lücke beim Beitritt zu Gruppenchats trägt die Kennung CVE-2026-113961. Laut Apple handelt es sich um ein Autorisierungsproblem, das durch eine verbesserte Validierung behoben wurde. Der Fehler, der Zugriff auf frühere Nachrichten erlaubte, wird als CVE-2026-113960 geführt. Apple sagt nicht, ob eine der beiden Lücken ausgenutzt wurde und was ein Angreifer dafür bräuchte. Offen bleibt auch, ob Gruppenmitglieder jemanden sehen würden, der auf diese Weise beitritt, und ob jedes Mitglied aktualisieren muss, um geschützt zu sein.

Bei der Brotli-Lücke CVE-2026-111497 handelt es sich um einen Schreibzugriff außerhalb der Speichergrenzen (Out-of-bounds Write) im Decoder der Bibliothek. Mit manipulierten Eingaben ließe sich dadurch Speicher beschädigen. Apple erwähnt keine Angriffe über diese Lücke. Die CISA hat sie jedoch am 27. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Als betroffenes Produkt nennt der Katalogeintrag Googles Brotli und weist darauf hin, dass auch andere Produkte die Komponente verwenden könnten.

Für jede Betriebssystemversion gibt es ein eigenes Update. Alle drei Lücken beschreibt Apple im Sicherheitshinweis zu iOS und iPadOS 27.2.1. Für mehrere Geräte führen die gleichzeitig veröffentlichten Updates bislang keinen dieser Fixes auf. Das betrifft iPhone XS, XS Max und XR, das iPad der 7. Generation und einige Apple-Watch-Modelle. Die Hinweise zu iOS 18.7.12 und watchOS 26.6.1 nennen zwar andere Sicherheitskorrekturen, aber weder die iMessage- noch die Brotli-Fixes. Ob Geräte mit diesen Versionen von den drei Lücken betroffen sind, sagt Apple nicht. Für Nutzer, die nicht sofort aktualisieren können, nennt Apple keine Übergangslösung.

Alle neun Updates beheben zudem Fehler in Bluetooth und AirPlay:

  • Zwei Lücken erlauben einem bösartigen Bluetooth-Gerät oder einem Angreifer in Bluetooth-Reichweite, sich ohne Zutun des Nutzers mit einem Gerät zu koppeln. Was ein so gekoppeltes Gerät anschließend tun könnte, sagt Apple nicht.
  • Über zwei weitere Lücken lässt sich die Begrenzung der Versuche für Kopplungscodes umgehen, einmal aus Bluetooth-Reichweite und einmal aus demselben Netzwerk.
  • Über eine weitere Lücke kann ein Angreifer in Bluetooth-Reichweite den Speicher eines Prozesses beschädigen.