Apple hat eine der umfangreichsten Update-Runden seiner Geschichte ausgeliefert. Mit iOS 27, iPadOS 27 und macOS Golden Gate 27 schließt der Hersteller mehr als 200 Sicherheitslücken auf einen Schlag.
Auf iOS 27 und iPadOS 27 entfallen etwa 126 Korrekturen, 20 davon betreffen den Kernel. macOS Golden Gate 27 behebt 210 Schwachstellen, rund 100 davon sind identisch mit denen der Mobilversion. Insgesamt betrifft etwa die Hälfte der behobenen Fehler sowohl die mobilen als auch die Desktop-Systeme; die Korrekturen verteilen sich auf über 90 Plattformkomponenten, darunter AppleKeyStore, Authentication Services, Foundation, Safe Browsing, Sandbox, Security, TCC und WebKit.
Für die ältere Linie erschien macOS Tahoe 26.7 mit 153 eigenen CVEs. Darin stecken 26 Kernel-Schwachstellen, die Speicherfehler, Rechteausweitung, Systemabbrüche und Informationslecks ermöglichen könnten. Auffällig ist ein Nachzügler: Neben den ganz überwiegend im Jahr 2026 entdeckten Problemen behebt das macOS-Update auch CVE-2022-3437, einen Heap-basierten Pufferüberlauf mittleren Schweregrads in Samba (innerhalb von Heimdal), der Denial-of-Service-Angriffe ermöglichen kann.
Besondere Aufmerksamkeit verdient nach Einschätzung von Adam Boynton, Senior Enterprise Strategy Manager bei Jamf, die iOS-Lücke CVE-2026-64752 – ein Speicherfehler im Medien-Framework CoreMedia. „Ein Angreifer könnte ein iPhone kompromittieren, indem er dem Nutzer ein manipuliertes Bild unterschiebt. Interessanterweise hat Apple den fehlerhaften Code nicht ausgebessert, sondern vollständig entfernt“, so Boynton.
Am selben Tag veröffentlichte Apple zudem iOS 26.7 und iPadOS 26.7 mit Korrekturen für über 80 Schwachstellen, von denen etwa 70 auch in iOS 27 und iPadOS 27 behoben wurden. macOS Sequoia 15.8 bringt mehr als 150 Korrekturen mit, über 140 davon finden sich ebenfalls in macOS Tahoe 26.7.
Auch die übrigen Plattformen wurden bedacht: tvOS 27, watchOS 27 und visionOS 27 beheben jeweils Dutzende Sicherheitsmängel, Safari 27 enthält sechs Korrekturen, Xcode 27 eine einzige.
Hinweise auf eine Ausnutzung der Schwachstellen in freier Wildbahn gibt Apple in keinem Fall. Nutzern wird empfohlen, ihre Geräte zeitnah zu aktualisieren; Details listet Apple auf seiner Seite zu Sicherheitsveröffentlichungen auf.
Boynton ordnet die Zahlen ein: „Die Menge der Korrekturen in iOS 27 ist weniger entscheidend als ihre Verortung – das ist eine Kernel-Veröffentlichung, keine Browser-Veröffentlichung.“ Für Unternehmen stelle sich jedes Jahr im September dieselbe Frage: wie lange es dauert, bis ein von Apple am ersten Tag ausgelieferter Fix jedes Gerät erreicht, das mit Unternehmensdaten in Berührung kommt. Diese Lücke sei früher eine Beschränkung gewesen und heute eine Entscheidung, denn mit Unterstützung am Tag der Veröffentlichung lasse sich ein Gerätebestand in Stunden statt in Wochen auf den aktuellen Stand bringen.