Apple hat am 9. November 2026 eine Reihe von Software-Aktualisierungen herausgegeben, die zwei Schwachstellen im hauseigenen Dienst iMessage adressieren. Über diese Sicherheitslücken war es entfernten Angreifern möglich, sich ohne Berechtigung Zugang zu Gruppenunterhaltungen zu verschaffen oder den bisherigen Chatverlauf einzusehen.
Unbemerktes Beitreten und Auslesen alter Nachrichten
Die schwerwiegendere der beiden Lücken wird unter der Kennung CVE-2026-113961 geführt. Sie erlaubte es einem Remote-Angreifer, einer bestehenden iMessage-Gruppe ohne Einladung beizutreten und eingehende Mitteilungen zu empfangen. Die übrigen Gesprächsteilnehmer erhielten darüber keine Benachrichtigung. Apple behob dieses Problem nach eigenen Angaben durch eine strengere Datenvalidierung sowie verbesserte Autorisierungsprüfungen.
Die zweite Schwachstelle, CVE-2026-113960, betraf die Einsicht in vergangene Chatverläufe. Ein regulär zu einer Gruppe hinzugefügter Nutzer konnte Nachrichten abrufen, die bereits vor seinem Beitritt versendet worden waren. Der Hersteller beseitigte diesen Fehler durch das Entfernen des entsprechenden Programmcodes.
Beide Schwachstellen in iMessage wurden dem Konzern von einem anonymen Sicherheitsforscher gemeldet. Das genaue Ausmaß einer potenziellen Exposition ist unklar. Bislang gibt es keine bestätigten Berichte über eine Ausnutzung der Schwachstellen in freier Wildbahn.
Ebenso liegen keine Hinweise auf unbefugt ausgelesene Unterhaltungen vor, und die Zahl möglicher Betroffener bleibt unbekannt. In den Sicherheitshinweisen des Unternehmens werden keine aktiven Angriffe genannt.
Bereitgestellte Aktualisierungen und betroffene Plattformen
Die Korrekturen für iMessage sind Bestandteil mehrerer Systemaktualisierungen. Sie stehen in iOS 27.2.1 und iPadOS 27.2.1, iOS 26.7.3 und iPadOS 26.7.3 sowie den Mac-Betriebssystemen macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 und macOS Sequoia 15.8.3 zur Verfügung.
Die Version iOS 27.2.1 erschien zwei Wochen nach der Veröffentlichung von iOS 27. Sie schließt insgesamt neun Sicherheitslücken, bringt jedoch keine neuen Funktionen mit.
Angesichts der komplexen Fachbegriffe rund um Software-Updates und Systemsicherheit verlieren viele Nutzer leicht den Überblick. Dieses kostenlose Lexikon erklärt die wichtigsten 53 Begriffe der Apple-Welt verständlich und hilft Ihnen, bei Sicherheitsmeldungen künftig genau zu wissen, worum es geht. iPhone-Lexikon jetzt kostenlos herunterladen
Die Aktualisierung wird ab dem iPhone 11 sowie für das iPad Pro 12,9 Zoll ab der vierten Generation, das iPad Pro 11 Zoll ab der zweiten Generation, das iPad Air ab der vierten Generation, das iPad ab der neunten Generation und das iPad mini ab der sechsten Generation unterstützt.
Nicht alle älteren Systemzweige erhielten die iMessage-Patches: In den Versionshinweisen zu iOS 18.7.12 und iPadOS 18.7.12, die für das iPhone XS, das iPhone XS Max, das iPhone XR sowie das iPad der siebten Generation bestimmt sind, werden die Fehlerbehebungen für iMessage nicht aufgeführt. Dasselbe gilt für watchOS 26.6.1. Ob diese älteren Gerätekonfigurationen weiterhin anfällig für die Schwachstellen sind, ist gegenwärtig unklar.
Weitere Sicherheitskorrekturen im Update-Zyklus
Im selben Aktualisierungszyklus behob Apple zusätzliche Sicherheitsrisiken in anderen Systembereichen. Vier der insgesamt adressierten Schwachstellen wurden von Apple intern entdeckt.
Unter anderem schloss der Hersteller mehrere Probleme im Zusammenhang mit Bluetooth- und AirPlay-Verbindungen. Dazu gehören CVE-2026-113965 und CVE-2026-113964 im Framework CoreUtils, die eine Kopplung ohne Bestätigung durch den Nutzer oder eine Umgehung des Pairing-Code-Limits über Bluetooth ermöglichten.
Wer sich mit der Absicherung seines Geräts befasst, sollte über die reinen System-Updates hinaus die wichtigsten Sicherheitseinstellungen kennen. Ein kompakter Ratgeber zeigt Ihnen, welche Funktionen Sie abseits von iMessage und Bluetooth aktivieren sollten, um Ihr Gerät optimal zu schützen. Gratis-Ratgeber: Die wichtigsten Sicherheits-Geheimnisse entdecken
Die Schwachstelle CVE-2026-113969 im Hintergrunddienst rapportd gestattete das Umgehen von Schutzgrenzen bei Kopplungscodes innerhalb desselben Netzwerks. Zudem wurden mit CVE-2026-113968 eine AirPlay-Lücke aus Bluetooth-Reichweite und mit CVE-2026-113970 ein Use-after-free-Fehler in Bluetooth geschlossen.
Ergänzend wurden die Speicherbeschädigung CVE-2026-111497 in der Brotli-Bibliothek, die am 27. Oktober in den KEV-Katalog der US-Cybersicherheitsbehörde CISA aufgenommen worden war, sowie CVE-2026-113963 im Bereich App Intents und die spezifische Lücke CVE-2026-113971 behoben.
Für macOS Tahoe 26.7.3 und macOS Sequoia 15.8.3 führt Apple jeweils acht behobene CVE-Einträge auf, für watchOS 27.2.1 neun Einträge und für watchOS 26.6.1 fünf Fehlerbehebungen für den Kopplungsprozess ohne Korrekturen für Messages. Das Betriebssystem visionOS 27.2.1 wurde ebenfalls mit entsprechenden Sicherheits-Patches versorgt.