Die am Mittwoch angekündigten Aktualisierungen richten sich gegen einen Fehler, den Apple als Logging-Problem beschreibt. Benachrichtigungen, die für die Löschung vorgesehen waren, blieben demnach weiterhin auf dem Gerät gespeichert. Behoben wird die Schwachstelle nach Angaben des Herstellers durch eine verbesserte Datenbereinigung.
Die Patches verteilen sich auf zwei Versionsstränge: iOS 26.4.2 und iPadOS 26.4.2 sowie iOS 18.7.8 und iPadOS 18.7.8. Verfügbar sind sie für zahlreiche iPhone- und iPad-Modelle über mehrere Generationen hinweg, vom iPhone XR und iPhone XS bis zum iPhone 16 und iPhone 16e sowie vom iPad mini der 5. Generation bis zum iPad Pro 13 Zoll (M4).
Apple machte keine weiteren Angaben zu CVE-2026-28950 und markierte den Fehler nicht als in freier Wildbahn ausgenutzt. Dennoch deutet vieles darauf hin, dass die Lücke bereits praktisch zum Einsatz kam: Berichten zufolge nutzten Ermittler sie, um Signal-Nachrichten vom iPhone eines mutmaßlichen Antifa-Mitglieds auszulesen – eines Verdächtigen im sogenannten Prairieland-Fall.
Das FBI soll dabei die Benachrichtigungsschwäche von iOS ausgenutzt haben, um die Signal-Chats wiederherzustellen, obwohl diese auf automatisches Verschwinden eingestellt waren und die Messenger-App vom Gerät entfernt worden war. Ursache war, dass Vorschauen eingehender Nachrichten im System-Cache gespeichert wurden und sich später mit forensischen Werkzeugen auslesen ließen.
Kurz nach der Veröffentlichung der Korrekturen lobte Signal Apple für das schnelle Handeln zum Schutz der Privatsphäre der Nutzer. „Für diese Korrektur ist kein Eingreifen nötig, um Signal-Nutzer unter iOS zu schützen. Sobald Sie den Patch installiert haben, werden alle unbeabsichtigt aufbewahrten Benachrichtigungen gelöscht, und für entfernte Anwendungen werden künftig keine Benachrichtigungen mehr aufbewahrt“, erklärte Signal.