Apple hat am 9. November 2026 eine neue Runde Sicherheitsupdates verteilt: iOS und iPadOS 27.2.1, macOS Golden Gate 27.2.1, watchOS 27.2.1 und visionOS 27.2.1, dazu Aktualisierungen für ältere Systemstände. Die vorige Runde liegt erst zwei Wochen zurück: Am 26. Oktober hatte Apple zu iOS 27.2 noch 163 behobene Lücken aufgeführt, diesmal sind es höchstens neun pro System. Es geht vor allem um das Koppeln von Geräten per Bluetooth und AirPlay, um Gruppenchats in iMessage und um einen Fehler in Googles Kompressionsbibliothek Brotli, den die CISA als ausgenutzt führt.

Neun Updates, zehn Lücken: was in welchem Paket steckt

Über alle neun Sicherheitshinweise verteilt nennt Apple zehn verschiedene CVE-Nummern. Wie viele davon ein Update behebt, hängt vom System ab:

  • iOS/iPadOS 27.2.1, watchOS 27.2.1 und visionOS 27.2.1: je neun Lücken
  • iOS/iPadOS 26.7.3, macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 und macOS Sequoia 15.8.3: je acht, es fehlt der Fehler in App Intents
  • iOS/iPadOS 18.7.12: sechs, ohne Brotli und ohne die beiden iMessage-Fehler, dafür mit einer Korrektur in MediaRemote
  • watchOS 26.6.1 für ältere Uhren: fünf, nur die Fehler rund um Bluetooth und AirPlay

Allen neun Updates gemeinsam sind also die fünf Bluetooth- und AirPlay-Fehler. Den Fehler in App Intents (CVE-2026-113963), über den eine App laut Apple an vertrauliche Nutzerdaten gelangen könnte, behebt Apple nur in den 27.2.1-Versionen von iOS/iPadOS, watchOS und visionOS; gemeldet hat ihn László Várady. Die MediaRemote-Korrektur in iOS 18.7.12 (CVE-2026-113971) richtet sich gegen Angreifer mit physischem Zugriff, die vom Sperrbildschirm aus ein Gerät mit einem AirPlay-Empfänger koppeln könnten. Unter iOS 26 ist dieser Fehler laut Apple schon seit Version 26.5 behoben.

Bluetooth und AirPlay: Koppeln ohne Zutun des Nutzers

Am höchsten bewertet ist unter den Apple-eigenen Fehlern einer im Bluetooth-Stack. Ein Use-after-free (CVE-2026-113970) erlaubt es laut Apple einem Angreifer in Bluetooth-Reichweite, Prozessspeicher zu beschädigen. Die US-Cybersicherheitsbehörde CISA hat den CVE-Eintrag um eine eigene Bewertung ergänzt: 8,8 von 10 Punkten nach CVSS 3.1, Stufe „hoch“. Apple selbst vergibt keine Punktwerte.

Vier weitere Fehler betreffen das Koppeln. Zwei liegen in der Komponente CoreUtils: Über CVE-2026-113965 kann ein bösartiges Bluetooth-Gerät eine Kopplung ohne jede Mitwirkung des Nutzers herstellen. Über CVE-2026-113964 lässt sich die Begrenzung der Versuche bei der Eingabe des Kopplungscodes umgehen und das Gerät ebenfalls ohne Zutun koppeln. Ähnliche Umgehungen der Versuchsbegrenzung beschreibt Apple für AirPlay (CVE-2026-113968, aus Bluetooth-Reichweite) und für den Systemdienst rapportd (CVE-2026-113969, aus demselben Netzwerk). Eine solche Begrenzung soll verhindern, dass jemand einen kurzen Code durch schnelles Durchprobieren errät. CISA bewertet die beiden CoreUtils-Fehler und den AirPlay-Fehler mit je 5,4 Punkten („mittel“), für rapportd gibt es bislang keinen Wert. Bis auf CVE-2026-113964, gemeldet von einem anonymen Forscher, hat Apple diese Fehler selbst gefunden.

iMessage: fremde Gruppenchats mitlesen

Zwei Fehler betreffen Gruppenunterhaltungen in iMessage, beide von anonymen Forschern gemeldet. Mit CVE-2026-113961 kann ein Angreifer aus der Ferne einem Gruppenchat beitreten und dessen Nachrichten empfangen. CISA vergibt hier 7,5 Punkte („hoch“); der zugehörige Vektor (AV:N/PR:N/UI:N) steht für einen Angriff übers Netz, ohne Anmeldung und ohne Zutun des Opfers. Der zweite Fehler (CVE-2026-113960) erlaubt einem neu hinzugefügten Gruppenmitglied, Nachrichten zu lesen, die vor seinem Beitritt geschickt wurden. Apple hat den verwundbaren Code nach eigenen Angaben entfernt, eine Punktbewertung gibt es dafür noch nicht. Ob iOS 18 und watchOS 26 von den beiden Fehlern nicht betroffen sind oder ob die Korrektur dort fehlt, geht aus Apples Hinweisen nicht hervor.

Brotli: ausgenutzt, aber ohne bekannte Angriffe auf Apple-Geräte

Die einzige Lücke im Paket, für die Angriffe belegt sind, stammt nicht von Apple. CVE-2026-111497 ist ein Schreibzugriff außerhalb der Puffergrenzen im Decoder der quelloffenen Kompressionsbibliothek Brotli. Präparierte Brotli-Daten können laut CVE-Eintrag Speicher beschädigen, Speicherinhalte preisgeben, das Programm abstürzen lassen oder womöglich Code ausführen. Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0. Google hat am 21. Oktober die korrigierten Fassungen 1.0.10, 1.1.1 und 1.2.1 veröffentlicht; am selben Tag verteilte das Node.js-Projekt Updates für seinen mitgelieferten Brotli-Decoder. Seitdem kursiert die Lücke unter dem Namen „Node2Shell“. Google bewertet sie als zuständige CVE-Vergabestelle mit 9,2 Punkten (CVSS 4.0, „kritisch“), die US-Schwachstellendatenbank NVD mit 9,8 (CVSS 3.1).

Am 27. Oktober nahm CISA CVE-2026-111497 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) auf; US-Bundesbehörden mussten bis zum 10. November reagieren. Wer angreift und mit welchem Ziel, schreibt CISA nicht. Der Eintrag vermerkt nur, dass die Lücke eine quelloffene Komponente betrifft, die in verschiedenen Produkten stecken kann. Das Sicherheitsunternehmen ELLIO meldete am 26. Oktober, seine Sensoren hätten Angriffsverkehr mit einem öffentlich verfügbaren Exploit für Node.js aufgezeichnet. Hinweise auf Angriffe gegen iPhones oder Macs liefert keine dieser Quellen. Apple nennt zu der Brotli-Lücke weder einen Entdecker noch eine Ausnutzung. In den Updates vom 26. Oktober fehlte die Korrektur noch.

Keine Begründung, kein Update für tvOS

Bei keiner der zehn Lücken steht in Apples Hinweisen der Satz, dem Unternehmen sei ein Bericht über eine mögliche Ausnutzung bekannt. CISA vermerkt in ihrer Einschätzung bei allen bewerteten Apple-Fehlern „Exploitation: none“. Warum Apple die Updates so kurz nach der vorigen Runde verteilt, erklärt das Unternehmen nicht. Für tvOS listete Apple bis zum Nachmittag des 10. November kein neues Update. Als aktuelle Version nennt die Übersichtsseite weiterhin tvOS 27.2 vom 26. Oktober. Ob die Software des Apple TV von den Bluetooth- und AirPlay-Fehlern betroffen ist, sagt Apple nicht.

Was du jetzt tun solltest

Vorderseite eines schwarzen iPhone 18 Pro mit ausgeschaltetem Display auf einer geflochtenen Unterlage

Bild: iPhone 18 Pro – wie alle Modelle ab dem iPhone 11 bekommt es iOS 27.2.1. Foto: Farragutful, Lizenz CC BY-SA 4.0, via Wikimedia Commons

Die Updates kommen über die üblichen Wege, von Hand geht es so:

  • iPhone und iPad: Einstellungen › Allgemein › Softwareupdate. Dort steht auch die installierte Version. iOS/iPadOS 27.2.1 gibt es für das iPhone 11 und neuer sowie für alle iPads, auf denen iPadOS 27 läuft. Version 26.7.3 ist für iPhones gedacht, die bei iOS 26 bleiben, und für iPads, die kein iPadOS 27 bekommen: iPad Pro 12,9 Zoll (3. Generation), iPad Pro 11 Zoll (1. Generation), iPad Air (3.), iPad (8.) und iPad mini (5. Generation). iPhone XS, XS Max, XR und das iPad der 7. Generation erhalten 18.7.12.
  • Mac: Systemeinstellungen › Allgemein › Softwareupdate. macOS Golden Gate läuft laut Apple nur auf dem MacBook Neo und auf Macs mit Apple-Chip, Intel-Macs bleiben außen vor. Wer noch Tahoe oder Sequoia nutzt, bekommt 26.7.3 beziehungsweise 15.8.3.
  • Apple Watch: in der Apple-Watch-App auf dem iPhone unter „Meine Uhr“ › Allgemein › Softwareupdate oder direkt auf der Uhr unter Einstellungen › Allgemein › Softwareupdate. watchOS 27.2.1 ist für Series 9 und neuer, Ultra 2 und neuer sowie SE 3 bestimmt, watchOS 26.6.1 für Series 6, 7 und 8, die SE der 2. Generation und die erste Ultra.
  • Vision Pro: visionOS 27.2.1 für alle Modelle, ebenfalls über Einstellungen › Allgemein › Softwareupdate.

Auf dem Mac zeigt das Terminal die installierte Version:

sw_vers -productVersion

Aktuell sind 27.2.1 (Golden Gate), 26.7.3 (Tahoe) und 15.8.3 (Sequoia). Wichtig für Entwickler: Programme, die Brotli selbst mitbringen, repariert Apples Update nicht. Node.js enthält laut Projekt einen eigenen Brotli-Decoder, behoben in den Versionen 22.23.4, 24.22.1 und 26.12.1. Für Python sind laut GitHub-Advisory die Pakete brotli ab 1.2.1 und brotlicffi ab 1.2.1.0 abgesichert. Prüfen lässt sich das so:

node --version
python3 -m pip show brotli brotlicffi

Quellen

Bildnachweis