Mit iOS 26.2 und iPadOS 26.2 stoppt Apple aktiv ausgenutzte Schwachstellen und weitere kritische Sicherheitslücken. Ihr solltet die Updates zeitnah installieren, um Eure Daten besser zu schützen.
Neues Update mit Fokus auf Sicherheit
Nach mehreren Entwickler-Betas und zwei Freigabekandidaten (RC) hat Apple iOS 26.2 nun für alle Nutzer:innen veröffentlicht. Neben neuen Funktionen wie einmaligen AirDrop-Codes und automatischer Kapitelgenerierung in Podcasts bringt das Update vor allem eine Reihe sicherheitsrelevanter Korrekturen.
Im Mittelpunkt stehen dabei zwei WebKit-Lücken, die laut Apple für sehr gezielte Angriffe auf ältere iOS-Versionen genutzt worden sein könnten. Zusätzlich behebt iOS 26.2 Schwachstellen, über die Apps Root-Rechte erlangen konnten. Auch Angriffe auf FaceTime, Safari-Verlauf und gespeicherte Passwörter werden erschwert.
Unterm Strich reduziert iOS 26.2 die Angriffsfläche deutlich und macht das iPhone-Betriebssystem sicherer für durchschnittliche Nutzer:innen.
Schutz für Nachrichten, Telefonie, Fotos und App Store
Insgesamt führt Apple mit iOS 26.2 vier Korrekturen ein, die verhindern sollen, dass Apps auf sensible Nutzerdaten zugreifen. Betroffen sind unter anderem Nachrichten, Telefon, Bildschirmzeit und die MediaExperience-Komponente.
Ein Informationsleck in iMessage (CVE-2025-46276) wurde durch verbesserte Datenschutzkontrollen geschlossen. Entdeckt wurde die Schwachstelle von Rosyna Keller von Totally Not Malicious Software. Bei Bildschirmzeit korrigierte Apple ein Protokollierungsproblem (CVE-2025-43538) über bessere Datenmaskierung.
Ein ähnliches Logging-Problem im Zusammenhang mit der Telefon-App (CVE-2025-46292) behebt Apple durch zusätzliche Berechtigungsprüfungen. Die MediaExperience-Komponente erhielt ebenfalls verbesserte Datenmaskierung, um ein weiteres Protokollierungsproblem (CVE-2025-43475) zu beseitigen.
FaceTime war von einer Lücke betroffen, bei der Kennwortfelder während einer Fernsteuerungssitzung über FaceTime unbeabsichtigt sichtbar werden konnten. Apple schließt diese Schwachstelle (CVE-2025-43542) durch verbessertes Zustandsmanagement.
Eine weitere Korrektur schützt Eure Fotos: Eine Fehlkonfiguration erlaubte den Zugriff auf das versteckte Fotoalbum ohne vorherige Authentifizierung. Apple schränkt dies nun stärker ein. Die Lücke CVE-2025-43428 wurde von Michael Schmutzer der Technischen Hochschule Ingolstadt sowie einer anonymen Person gemeldet.
Auch der App Store erhält einen Fix: Zusätzliche Beschränkungen sollen verhindern, dass Apps auf sensible Zahlungstoken zugreifen. Die Schwachstelle CVE-2025-46288 wurde von floeki und Zhongcheng Li vom IES Red Team von ByteDance aufgedeckt. Zudem sorgt eine Anpassung im Icon-System dafür, dass einzelne Apps nicht mehr erkennen können, welche anderen Apps installiert sind (CVE-2025-46279).
Kernel, Root-Rechte, Speicherfehler und WebKit
Eine zentrale Korrektur betrifft den Kernel von iOS. Ein Integer-Überlauf erlaubte es bösartigen Anwendungen, Root-Rechte zu erlangen. Apple behebt diese Schwachstelle (CVE-2025-46285) durch die Umstellung auf 64-Bit-Zeitstempel.
Gleich vier weitere Lücken, die zu Speicherfehlern führen konnten, wurden in AppleJPEG, Foundation, Multi-Touch und der Open-Source-Komponente libarchive geschlossen. Apple setzt hier auf verbesserte Eingabeprüfung, Bounds-Checking und weitere Maßnahmen.
Im Calling Framework entfernte Apple eine Inkonsistenz in der Benutzeroberfläche, die zum Spoofing der FaceTime-Anruferkennung genutzt werden konnte. Das Problem CVE-2025-46287 wurde ebenfalls mit besserem Zustandsmanagement behoben.
Eine weitere Foundation-Schwachstelle erlaubte es Apps, über die Rechtschreibprüfung unzulässig auf Dateien zuzugreifen. Diese Lücke (CVE-2025-43518), entdeckt von Noah Gregory, wurde durch zusätzliche Prüfungen geschlossen.
Besonders wichtig sind die WebKit- und Safari-Korrekturen. Apple behebt acht WebKit-Lücken, die allesamt beim Verarbeiten von manipulierten Webinhalten ausgelöst werden konnten, und sichert zusätzlich den Safari-Verlauf ab.
Die Schwachstellen CVE-2025-43501, CVE-2025-43531 und CVE-2025-43511 führten bei schädlichen Webseiten zu unerwarteten Prozessabstürzen, ebenso CVE-2025-43541 direkt in Safari. Eine weitere Lücke in Verbindung mit Bildschirmzeit (CVE-2025-46277) erlaubte Apps Zugriff auf den Safari-Verlauf und wurde durch verbesserte Datenmaskierung geschlossen.
Kritisch sind zwei WebKit-Lücken, die laut Apple möglicherweise in hochentwickelten Angriffen gegen gezielt ausgewählte Personen auf iOS-Versionen vor iOS 26 ausgenutzt wurden. Eine Use-after-free-Schwachstelle (CVE-2025-43529), entdeckt von der Google Threat Analysis Group, erlaubte bei manipulierten Webseiten das Ausführen beliebigen Codes und wurde durch verbessertes Speichermanagement behoben.
Eine weitere Speicherfehler-Lücke (CVE-2025-14174), gefunden von Apple und der Google Threat Analysis Group, führte zu Speicherbeschädigungen und wurde über strengere Validierung geschlossen.
Insgesamt umfasst iOS 26.2 laut Apple 25 Sicherheitskorrekturen, die ein breites Spektrum an Schwachstellen abdecken. Die vollständige Liste findet Ihr auf der Support-Seite von Apple. Aktuelle Updates stellen sicher, dass Angreifer:innen deutlich schwerer an Eure Daten gelangen, teils sogar über bereits in gezielten Angriffen genutzte Exploits.
Via: https://appleinsider.com
Titelbild: Apple
