Bei macOS Tahoe 26.6.2 entfallen laut Apple 21 der 28 behobenen Sicherheitslücken auf WebKit. Die Fehler konnten Abstürze von Safari oder einzelnen Prozessen auslösen, den Speicher beschädigen und sensible Daten offenlegen.
Zusätzlich schließt das Update sieben weitere Schwachstellen in Audio, ImageIO, IOGPUFamily und Kernel. Diese Lücken konnten laut Apple zur Offenlegung sensibler Nutzerinformationen, zu Denial-of-Service, zu beliebiger Codeausführung, zu Speicherbeschädigungen, zum Abbruch des Systems sowie zur Offenlegung oder Beschädigung von Kernel-Speicher führen.
Die parallel veröffentlichten Updates iOS 26.6.1 und iPadOS 26.6.1 beheben dieselben 28 Schwachstellen. Hinzu kommt ein Authentifizierungsfehler in Telephony, der es Angreifern ermöglichen konnte, die IPSec-Authentifizierung zu umgehen und Netzwerkverkehr abzufangen.
Apple beschreibt die neuen Versionen iOS 26.6.1 und iPadOS 26.6.1 zudem als möglichen Vorbereitungsschritt für iOS 27 und iPadOS 27, deren Veröffentlichung im nächsten Monat erwartet wird.
Größer fällt der Umfang der ebenfalls am Montag angekündigten Updates für iOS 18.7.10 und iPadOS 18.7.10 aus. Diese beseitigen laut Apple mehr als 120 Fehler, darunter mehr als 40 in WebKit. Neben Abstürzen, Speicherbeschädigungen und der Offenlegung von Daten konnten diese Schwachstellen auch einen Ausbruch aus der Sandbox sowie die Abführung von Daten über Herkunftsgrenzen hinweg ermöglichen.
Darüber hinaus behebt das Update 18 Schwachstellen im Kernel. Diese konnten ausgenutzt werden, um Kernel-Speicher zu beschädigen, das System zum Absturz zu bringen, Kernel-Speicher offenzulegen, Netzwerkfilter zu umgehen, in Kernel-Speicher zu schreiben, sensible Kernel-Zustände offenzulegen und auf sensible Nutzerdaten zuzugreifen.
Weitere Sicherheitsfehler hat Apple nach eigenen Angaben in Accessibility, AirDrop, App Store, AVEVideoEncoder, Contacts, CoreAudio, CoreMedia, Foundation, ImageIO, IOSkywalkFamily, Maps, MediaRemote, Model I/O, SceneKit, Siri, WebRTC und anderen Komponenten behoben.
Apple weist nicht darauf hin, dass eine der jetzt geschlossenen Schwachstellen bereits bei Angriffen ausgenutzt wurde. Zusätzliche Informationen stellt das Unternehmen auf seiner Seite zu Sicherheitsupdates bereit.