Apple Zero-Day CoreGraphics: CVE-2026-86950 trifft ältere iPhones

Ein Apple Zero-Day CoreGraphics beschäftigt seit Montag alle, die noch ältere iPhones oder Macs im Bestand haben: Apple hat am 28. September 2026 Sicherheitsupdates veröffentlicht, die eine Lücke in der Grafikkomponente CoreGraphics schließen. Laut Apple liegt ein Bericht vor, wonach die Schwachstelle möglicherweise in einem „extrem raffinierten“ Angriff gegen einzelne, gezielt ausgewählte Personen ausgenutzt wurde.

Was genau gepatcht wurde

Die Lücke trägt die Kennung CVE-2026-86950. Es handelt sich um einen Out-of-bounds-Write, also einen Schreibzugriff über die Grenzen eines Speicherbereichs hinaus. Wird eine präparierte Datei verarbeitet, kann dadurch fremder Code auf dem Gerät ausgeführt werden. Apple hat das Problem nach eigenen Angaben durch bessere Bereichsprüfungen behoben und nennt Meta Product Security als Finder.

Gepatcht ist die Lücke in diesen Versionen:

• iOS 26.7.1 und iPadOS 26.7.1 – iPhone 11 und neuer, iPad Pro 12,9″ ab 3. Generation, iPad Pro 11″ ab 1. Generation, iPad Air ab 3. Generation, iPad ab 8. Generation, iPad mini ab 5. Generation
• macOS Tahoe 26.7.1
• macOS Sequoia 15.8.1

Bemerkenswert ist der Zusatz im Advisory: Der mögliche Angriff soll sich laut Apple gegen Geräte mit iOS-Versionen vor iOS 27 gerichtet haben. Die aktuelle Hauptlinie war also nach heutigem Stand nicht das Ziel – betroffen sind die Geräte, die auf dem 26er-Zweig hängen geblieben sind.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Der Apple Zero-Day CoreGraphics ist kein Massenphänomen. Angriffe dieser Bauart – gezielt, gegen einzelne Personen, mit hohem Aufwand – werden sparsam eingesetzt. Wer ein normales Firmen-iPhone benutzt, steht sehr wahrscheinlich nicht auf dieser Liste. Panik ist also unangebracht, und wer sein Update-Fenster nächste Woche fährt, hat nichts falsch gemacht. (Dass hinter solchen Ketten typischerweise kommerzielle Überwachungssoftware steckt, ist meine Einordnung aus dem Muster – Apple bestätigt das nicht.)

Trotzdem ist der Fall aus CISO-Sicht interessant, und zwar aus einem anderen Grund: Er markiert exakt die Stelle, an der ein Mobilgerätepark auseinanderfällt. In fast jeder Umgebung, die ich in 25 Jahren gesehen habe, gibt es zwei Gruppen – die Geräte, die brav der aktuellen Hauptversion folgen, und die Handvoll Altgeräte, die auf einem älteren Zweig festhängen. Grund ist selten Faulheit, sondern meist eine App, die auf der neuen Version zickt, oder ein Modell, das den Sprung nicht mehr mitmacht. Genau diese zweite Gruppe wird hier adressiert.

Daraus folgt der Punkt, den kein Advisory ausspricht: Ein MDM-Filter auf „nicht aktuell“ greift hier daneben. Geräte auf iOS 27 sind nach Apples eigener Aussage nicht das Ziel gewesen, Geräte auf 26.7.0 und älter schon. Du musst also gezielt nach dem 26er-Zweig unterhalb von 26.7.1 filtern, sonst ertrinkt die eigentliche Risikogruppe in einer langen Liste harmloser Nachzügler.

Der zweite Punkt: Eine Bild- und Dokumentenverarbeitungs-Bibliothek ist ein besonders unangenehmer Ort für so eine Lücke. CoreGraphics verarbeitet Inhalte, die von außen kommen – Anhänge, Vorschaubilder, Nachrichteninhalte. Klassische Nutzerschulung („nicht draufklicken“) greift da nur begrenzt, weil das Rendern oft vor der bewussten Entscheidung passiert.

Was du jetzt konkret tun solltest

• Update einspielen – auf iPhone und iPad unter Einstellungen → Allgemein → Softwareupdate, am Mac unter Systemeinstellungen → Allgemein → Softwareupdate. Automatische Updates aktiviert lassen.
• Inventar gezielt filtern: Zieh aus deinem MDM einen Bericht über alle Geräte auf dem 26er-Zweig unterhalb von 26.7.1 sowie auf macOS Sequoia unterhalb von 15.8.1. Das ist die eigentliche Arbeit – nicht das Update selbst, sondern zu wissen, wo es fehlt.
• Nachzügler mit Frist versehen: Setz im MDM eine erzwungene Update-Frist statt einer Empfehlung. Ohne Zwangstermin bleibt der Rest-Prozentsatz dauerhaft offen.
• Für exponierte Personen: Wer als Ziel gezielter Angriffe plausibel ist – Geschäftsführung, Journalisten, Personen mit politischem Profil – sollte den Blockierungsmodus (Lockdown Mode) prüfen: Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus. Er schaltet unter anderem riskante Anhangstypen und Vorschaufunktionen ab und ist für genau diese Angriffsklasse gedacht.
• Geräte ohne Update-Pfad ausmustern: Bekommt ein Modell keine Patches mehr, gehört es aus dem produktiven Bestand. Ein Gerät, das nicht mehr gepatcht werden kann, ist kein Restrisiko, sondern ein bekannter offener Weg.

Wie schnell aus einer Apple-Lücke ein echtes Problem wird, wenn niemand patcht, hat sich im August gezeigt: die macOS-Screen-Sharing-Lücke CVE-2026-65400 wurde damals aktiv ausgenutzt.

Was offen bleibt

Apple macht keine Angaben dazu, wie viele Personen betroffen waren, ob die Angriffe erfolgreich waren oder seit wann die Lücke ausgenutzt wird. Das ist die übliche Zurückhaltung des Herstellers und kein Grund, die Meldung zu dramatisieren – aber es heißt auch, dass niemand von außen beurteilen kann, wie lange das Fenster offen stand. Wer belastbare Indikatoren für eine Kompromittierung sucht, wird sie im Advisory nicht finden.

Quellen

• Apple: About the security content of iOS 26.7.1 and iPadOS 26.7.1
• Apple: About the security content of macOS Tahoe 26.7.1
• Apple: About the security content of macOS Sequoia 15.8.1
• The Hacker News: Apple Patches CoreGraphics Flaw Possibly Exploited in Targeted Attacks
• BleepingComputer: Apple patches CoreGraphics zero-day flaw exploited in attacks
• Help Net Security: Apple Core Graphics zero-day CVE-2026-86950 fixed