Ein iOS-Update behebt nicht immer nur eine einzelne Sicherheitslücke. iOS 27.2.1 und iPadOS 27.2.1 wurden am 9. November 2026 veröffentlicht und beheben unter anderem zwei Probleme, die iMessage-Gruppenchats betreffen. Apple beschreibt zudem Schwachstellen im Zusammenhang mit AirPlay, Bluetooth und der Komprimierungsbibliothek Brotli. Der Umfang der Korrekturen hängt jedoch von den betroffenen Versionen ab: Die hier aufgeführten detaillierten Hinweise gelten für die Geräte, die Apple für diese Updates nennt.
Zwei iMessage-Sicherheitslücken mit unterschiedlichen Folgen
Die erste Schwachstelle, CVE-2026-113961, könnte einem Angreifer aus der Ferne ermöglichen, einem iMessage-Gruppenchat beizutreten und dessen Nachrichten zu empfangen. Apple führt das Problem auf eine unzureichende Überprüfung der Berechtigungen zurück und gibt an, es durch eine verstärkte Überprüfung behoben zu haben.
Die zweite Schwachstelle, CVE-2026-113960, betrifft eine Person, die einer Gruppe hinzugefügt wird: Sie könnte auf Nachrichten zugreifen, die vor ihrem Beitritt versendet wurden. Apple erklärt, den anfälligen Code entfernt zu haben. Es handelt sich also um zwei unterschiedliche Szenarien: Das eine betrifft den Zugang zu einem Gespräch, das andere die Sichtbarkeit des bisherigen Chatverlaufs.
Diese Beschreibungen nennen mögliche Auswirkungen, sind aber kein Beleg dafür, dass die Schwachstellen gegen Personen ausgenutzt wurden. Apple weist darauf hin, dass das Unternehmen Sicherheitsprobleme weder offenlegt noch bestätigt, bevor eine Untersuchung stattgefunden hat und Korrekturen verfügbar sind. In seinen Hinweisen wird keine Ausnutzung dieser beiden iMessage-Schwachstellen gemeldet.
Betroffene Geräte mit iOS 27.2.1
Apple gibt an, dass die in iOS 27.2.1 und iPadOS 27.2.1 veröffentlichten Korrekturen für das iPhone 11 und neuere Modelle sowie für mehrere iPad-Generationen verfügbar sind: iPad Pro 12,9 Zoll ab der vierten Generation, iPad Pro 11 Zoll ab der zweiten Generation, iPad Air ab der vierten Generation, iPad ab der neunten Generation und iPad mini ab der sechsten Generation.
Diese Liste ist wichtig, um die Ankündigung richtig einzuordnen. Allein aus den Hinweisen zu einem Update lässt sich nicht schließen, dass jedes ältere Apple-Gerät dieselben Korrekturen erhält. Apple veröffentlicht separate Dokumente für seine Softwareversionen. Deshalb sollte man das Dokument für das auf dem eigenen Gerät installierte System prüfen, statt die Angaben auf die gesamte Produktpalette zu übertragen.
Brotli und Bluetooth: weitere betroffene Mechanismen
Die Korrektur für iOS und iPadOS behebt auch CVE-2026-111497 in Brotli, einer Komprimierungsbibliothek. Apple gibt an, dass speziell gestaltete schädliche Inhalte aufgrund eines Schreibzugriffs außerhalb des vorgesehenen Speicherbereichs eine Speicherbeschädigung verursachen könnten. Einfach gesagt besteht das Risiko, dass die Software Daten in einen Speicherbereich schreibt, der nicht für sie vorgesehen ist. Der Hinweis bestätigt, dass diese Schwachstelle behoben wurde, setzt sie aber nicht mit einem Angriff über iMessage gleich.
Mehrere weitere von Apple beschriebene Schwachstellen betreffen die drahtlose Kommunikation oder das Koppeln von Geräten. Unter bestimmten Bedingungen könnte ein schädliches Bluetooth-Gerät eine Kopplung ohne Zutun des Nutzers herstellen. Andere Schwachstellen könnten die Begrenzung der Anzahl von Versuchen zur Eingabe eines Kopplungscodes umgehen – entweder innerhalb der Bluetooth-Reichweite oder über dasselbe Netzwerk. Eine weitere Schwachstelle könnte es einem Angreifer in Bluetooth-Reichweite ermöglichen, den Speicher eines Prozesses zu beschädigen.
Die Hinweise nennen mögliche Auswirkungen und die behobenen Probleme, erläutern aber nicht, was ein gekoppeltes Gerät anschließend tun könnte. Es wäre daher irreführend, aus dem Hinweis auf eine nicht autorisierte Kopplung die Behauptung abzuleiten, dass dadurch sämtliche Daten auf dem Gerät zugänglich werden.
Was sich durch das Update konkret ändert
Für Nutzerinnen und Nutzer eines iPhone oder iPad, das in Apples Liste aufgeführt ist, besteht der Vorteil darin, dass mehrere Schwachstellen behoben werden, die alltägliche Nutzungen betreffen könnten: den Austausch von Nachrichten in einer Gruppe oder das Koppeln eines Geräts. Dieselben Hinweise umfassen auch Probleme mit App Intents, durch die eine App auf sensible Daten zugreifen könnte, sowie mit AirPlay, darunter Versuche, einen Kopplungscode einzugeben.
Am besten prüft man, welche Version installiert ist, und sucht in den Geräteeinstellungen nach dem entsprechenden Update. Wenn das Gerät nicht in der Liste zu iOS 27.2.1 oder iPadOS 27.2.1 aufgeführt ist, lässt sich daraus allein nicht ableiten, wie gut es geschützt ist: Dazu sollte man die Apple-Hinweise für die jeweilige Softwareversion heranziehen. Eine Sicherheitskorrektur ist eine sinnvolle Maßnahme, ersetzt aber nicht andere Vorsichtsmaßnahmen, etwa das Ablehnen unerwarteter Kopplungsanfragen.
Quellen
iPhone in Gebrauch. Symbolbild.
Bildnachweis: Jeremy Levin — Wikimedia Commons — CC0 1.0.
