Mit iOS 26.4 schließt Apple mehr als 35 Sicherheitslücken auf dem iPhone. Einige der behobenen Schwachstellen stechen besonders hervor und verdienen einen genaueren Blick.
Gestohlener-Geräte-Schutz ausgehebelt
Die gravierendste Schwachstelle betrifft den Gestohlener-Geräte-Schutz. Die Lücke mit der Kennung CVE-2026-28895 erlaubte es Angreifer:innen mit physischem Zugriff auf ein iPhone, biometrisch geschützte Apps allein mit dem Gerätecode zu öffnen – auch wenn der Gestohlener-Geräte-Schutz aktiviert war. Apps, die ihr per „Face ID erforderlich“ über einen langen Druck auf das App-Symbol zusätzlich abgesichert habt, ließen sich damit trotzdem per Code entsperren.
In einer Analyse im Februar wurden bereits neue Anpassungen beim Gestohlener-Geräte-Schutz erläutert, darunter die Tatsache, dass Apple die Funktion in iOS 26.4 nun standardmäßig aktiviert. Ziel dieser Schutzfunktion ist es, ein gestohlenes iPhone selbst dann unbrauchbar zu machen, wenn Dieb:innen euren Code kennen.
Ein Umgehen dieser Sperre untergräbt dieses Konzept vollständig. Laut Apple wurde das Problem durch verbesserte Prüfmechanismen behoben, die Schwachstelle gilt als geschlossen. Wer sich für die Entstehungsgeschichte des Gestohlener-Geräte-Schutzes interessiert, findet dazu eine ausführliche Vorgeschichte.
Schwachstellen bei Schlüsselbund und Mail-Datenschutz
CVE-2026-28864 betrifft den iCloud-Schlüsselbund und ist vor allem deshalb interessant, weil Apple nur wenige Details nennt. Demnach konnte ein lokaler Angreifer aufgrund unzureichender Rechteprüfung auf Elemente des Schlüsselbunds zugreifen. Im Schlüsselbund liegen Passwörter, Verschlüsselungsschlüssel, Token und weitere sensible Daten. Eine Lücke an dieser Stelle stellt eine ernsthafte lokale Rechteausweitung dar, die wiederum genau das Szenario trifft, für das der Gestohlener-Geräte-Schutz gedacht ist: jemand hält euer Gerät physisch in der Hand.
Auch der Datenschutz in Mail war nicht immer zuverlässig. CVE-2026-20692 zeigt, dass die Einstellungen „IP-Adresse verbergen“ und „Alle entfernten Inhalte blockieren“ nicht auf alle Mail-Inhalte angewendet wurden. Selbst wenn ihr diese Optionen aktiviert hattet, konnte es vorkommen, dass eure IP-Adresse für Absender sichtbar blieb und entfernte Inhalte dennoch geladen wurden. Wie verbreitet das Problem war, ist unklar. Problematisch bleibt, wenn Schutzfunktionen stillschweigend nicht wie vorgesehen arbeiten.
Sandbox-Ausbruch, AirPrint-Probleme und WebKit-Lücken
Mit CVE-2026-20688 behebt Apple eine Schwachstelle, über die eine App ihre Sandbox über das Druck-Framework verlassen konnte. Ursache war ein Fehler in der Pfadverarbeitung innerhalb des Druck-Frameworks, das zu AirPrint gehört und drahtloses Drucken ermöglicht. Sandbox-Ausbrüche sind besonders kritisch, weil sie häufig ein zentrales Element in Angriffsketten darstellen. Gelingt der Ausbruch, vergrößert sich die Angriffsfläche deutlich.
Für WebKit war es ein schlechter Monat. Neben einem Sandbox-Problem listet Apple sieben weitere CVEs. Hervorzuheben sind ein Umgehen der Same-Origin-Richtlinie (CVE-2026-20643), ein Umgehen der Inhaltssicherheitsrichtlinie (CVE-2026-20665) und ein Fehler, der es einer bösartigen Website erlaubte, eingeschränkte Webinhalte außerhalb der Sandbox zu verarbeiten (CVE-2026-28859). Gerade der letzte Fehler ist aus Sicherheitssicht besonders bedenklich.
Immerhin listet Apple keine der genannten Lücken als bereits aktiv ausgenutzt. Angesichts des Umfangs und der Schwere einzelner Schwachstellen ist das bemerkenswert für ein einzelnes Punkt-Update. Ein Umgehen des Gestohlener-Geräte-Schutzes, potenzieller Zugriff auf Schlüsselbund-Inhalte und still versagende Mail-Datenschutzeinstellungen gehören nicht zu den alltäglichen Problemen, denen Nutzer:innen normalerweise begegnen.
Ihr solltet iOS 26.4 daher möglichst zeitnah auf allen euren Geräten installieren. Die vollständige Liste der Sicherheitskorrekturen für iOS 26.4, macOS 26.4, tvOS 26.4, iPadOS 26.4 und weitere Plattformen findet ihr auf Apples Seite zu Sicherheitsaktualisierungen.
Via: https://9to5mac.com
