Das DarkSword-Exploit-Kit stellt eine außergewöhnliche Bedrohung für iOS-Nutzer dar, die sich bewusst gegen ein Upgrade auf iOS 26 entschieden haben. Im März 2025 deckte eine Zusammenarbeit von Sicherheitsforschern der Unternehmen Lookout, iVerify und Google Threat Intelligence das Exploit-Kit auf, das iOS-Versionen von 18.4 bis 18.7 gezielt angreift.
Insgesamt sechs kritische Sicherheitslücken werden von DarkSword ausgenutzt: CVE-2025-31277, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520. Was diesen Fall besonders gravierend macht, ist die Art der Malware, die nach erfolgreicher Ausnutzung installiert wird. Sicherheitsforscher haben drei Malware-Familien identifiziert: GhostBlade, ein aggressiver JavaScript-Infostealer, das GhostKnife-Backdoor-Programm sowie GhostSaber, das Fremden die Möglichkeit bietet, Code auszuführen und Daten zu stehlen.
Besonders alarmierend ist die Reichweite der Kampagnen. Neben dem kommerziellen Überwachungsanbieter PARS Defense aus der Türkei zeigen Spuren auf die russische Spionagegruppe UNC6353 hin. Im Gegensatz zu früheren iOS-Exploits, die typischerweise nur für hochgradig gezielte Spyware-Kampagnen eingesetzt wurden, findet DarkSword eine viel breiter gefächerte Anwendung.
Apple begann mit Patches bereits im Juli 2025 mit der Veröffentlichung von iOS 18.6 und hat seitdem kontinuierlich Updates bereitgestellt. Allerdings stoppte das Unternehmen Mitte 2025 die Verteilung von iOS-18-Updates auf neuere Geräte, die iOS 26 unterstützen. Das bedeutete für Nutzer, die bewusst bei iOS 18 bleiben wollten oder konnten, dass der Zugang zu Sicherheits-Patches schnell eingeengt wurde.
Die neueste Version iOS 18.7.7 läuft nun auf einer deutlich breiteren Palette an Geräten: alle iPhone-Modelle ab dem XR, iPad-Varianten mit verschiedenen Prozessoren von A16 bis M4. Besonders wichtig für deutsche Unternehmensumgebungen: Die automatische Update-Funktion wird diese Patches bei aktivierter Einstellung automatisch installieren.
Ein weiterer Risikofaktor kam hinzu, als ein Sicherheitsforscher das komplette Exploit-Kit im März 2026 auf GitHub veröffentlichte. Dadurch ist DarkSword nicht mehr nur etablierten Cyberkriminellen vorbehalten, sondern steht einer wesentlich breiteren Angreifer-Community zur Verfügung.