Apple hat am 28. September iOS 26.7.1 veröffentlicht, dazu iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1. Behoben wird eine einzige Lücke: CVE-2026-86950 in CoreGraphics. Eine präparierte Datei genügt, um Speicher zu überschreiben, und daraus kann Codeausführung werden.
Gemeldet hat sie Meta Product Security. Apple schreibt dazu einen Satz, der in solchen Mitteilungen selten steht:
«Gegen bestimmte Personen»
Im Original lautet er: Apple habe Kenntnis von einem Bericht, wonach die Lücke «in einem äusserst ausgeklügelten Angriff gegen bestimmte, ausgewählte Personen» ausgenutzt worden sein könnte.
Diese Formulierung benutzt Apple für eine bestimmte Sorte Angriff: nicht die Masse, sondern einzelne Menschen, die jemandem viel wert sind. Journalistinnen, Anwälte, Menschen in Regierungsnähe. Wer eine Schreinerei, eine Praxis oder einen Treuhandbetrieb führt, ist damit nicht gemeint.
Und weil das so ist, wird die Meldung überflogen und weggeklickt. Das ist eine nachvollziehbare Reaktion — sie greift nur bei einem Teil des Satzes zu kurz.
Der Teil, der überlesen wird
Der Satz endet mit: «auf Versionen von iOS vor iOS 27».
Apple flickt hier nicht die aktuelle Fassung. Apple flickt den alten Zweig — für alle, die den Sprung auf iOS 27 noch nicht gemacht haben.
Das dreht die übliche Lage um. Normalerweise ist Abwarten die vorsichtige Wahl: nicht gleich auf das grosse Versionsupdate springen, erst die Kinderkrankheiten abwarten, das kennt jeder Betrieb und jeder macht es so. Hier ist genau diese Gruppe die betroffene.
Wer auf iOS 27 ist, hat die Sache hinter sich. Wer geblieben ist, bekommt ein Update — und muss es einspielen.
Was CoreGraphics ist, und was daraus folgt
CoreGraphics ist die Schicht, die Bilder und PDF zeichnet. Sie läuft, sobald ein Gerät etwas darstellt.
Wie die präparierte Datei zugestellt wurde, sagt Apple nicht. Wir wissen es nicht, und wir raten hier nicht. Festhalten lässt sich nur, was die Komponente tut: Sie verarbeitet Dateien, die von aussen kommen — und das tut sie oft, bevor jemand bewusst etwas anklickt.
Das ist derselbe Umstand, der Bewerbungsunterlagen so unangenehm macht: Man muss sie öffnen, und das Öffnen ist bereits die Verarbeitung.
Warum das Update trotzdem dran ist
Drei Gründe, nüchtern.
Es dauert zwei Minuten. Einstellungen, Allgemein, Softwareupdate. Bei einem Betrieb mit einer Handvoll Geräten ist das eine Kaffeepause.
Ab jetzt ist die Lücke öffentlich. Solange nur ein einzelner Angreifer sie kannte, war sie ihm zu wertvoll für die Masse. Ab der Veröffentlichung wissen alle anderen, wo zu suchen ist. Der Weg von «gezielt gegen wenige» zu «breit gegen viele» ist bei Lücken dieser Art oft kurz.
Sie ist bereits benutzt worden. Das unterscheidet sie von der Mehrzahl der Lücken, über die wir hier schreiben. Wir haben im August festgehalten, dass es bei fast der Hälfte aller Schwachstellen gar kein Update gibt. Hier gibt es eines, und es liegt bereit.
Eine Sache, die wir uns selbst vorwerfen mussten
Ein Update einzuspielen und ein Update in Betrieb zu haben, ist nicht dasselbe.
Das haben wir Ende September am eigenen Server gelernt: 56 Kernel-Aktualisierungen waren eingespielt und keine davon in Betrieb, weil niemand neu gestartet hatte. Bei iPhone und iPad ist die Falle kleiner — das Gerät startet beim Update ohnehin neu —, aber sie existiert: Ein Update, das seit Tagen als «wird heute Nacht installiert» in den Einstellungen steht, ist noch keines.
Sehen Sie nach, welche Version tatsächlich läuft. Einstellungen, Allgemein, Info.
Für wen es wirklich eilt
Wenn in Ihrem Betrieb jemand mit besonders schützenswerten Daten arbeitet — Mandate, Patientendaten, laufende Verfahren —, dann gehört dieses Update heute eingespielt und nicht irgendwann.
Für alle anderen gilt der ruhigere Satz: diese Woche, zusammen mit den übrigen Geräten, und dabei gleich nachsehen, wer im Betrieb überhaupt noch auf der alten Version ist.
Wer dabei feststellt, dass das niemand weiss, hat den eigentlichen Befund des Tages gefunden.