Das Wichtigste in Kürze

  • Apple gab iOS 26.6.1 am 17. August 2026 um 19:36 Uhr mitteleuropäischer Sommerzeit frei (10:36 Uhr pazifischer Zeit).
  • Die Sicherheitsseite von Apple listet 29 Schwachstellen mit CVE-Kennung auf; 21 davon entfallen auf WebKit, WebKit History und WebKit Storage.
  • Ein Eintrag in der Komponente Telephony betrifft laut Apple das Umgehen der IPSec-Authentifizierung – das ist der Punkt mit Bedeutung für Firmen-VPNs.
  • Bei keinem der 29 Einträge vermerkt Apple einen Hinweis darauf, dass die Lücke bereits ausgenutzt worden sein könnte.
  • Für iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation erscheint parallel iOS 18.7.10 mit einer deutlich längeren Korrekturliste.

Apple hat am Montagabend iOS 26.6.1 für das iPhone freigegeben. Die zunächst fehlende Liste der geschlossenen Sicherheitslücken liegt inzwischen vor – und sie ist länger, als der knappe Hinweis auf dem Gerät vermuten lässt: 29 Einträge, 21 davon in der Browser-Engine WebKit. Ein Vermerk auf laufende Angriffe fehlt.

Das Update erschien nach Angaben von 9to5Mac am 17. August 2026 um 10:36 Uhr pazifischer Zeit, das entspricht 19:36 Uhr mitteleuropäischer Sommerzeit. Apple liefert es über die Systemaktualisierung aus; in Deutschland, Österreich und der Schweiz steht es über dieselbe Einstellung bereit: Einstellungen, Allgemein, Softwareupdate. Auf dem Gerät selbst stand laut 9to5Mac zunächst nur der Hinweis, das Update enthalte Sicherheitskorrekturen für das iPhone; die zugehörige Detailseite sei zum Zeitpunkt der Freigabe noch nicht veröffentlicht gewesen.

Inzwischen hat Apple sie nachgereicht. Auf der Seite „About the security content of iOS 26.6.1 and iPadOS 26.6.1“ listet der Konzern 29 Schwachstellen mit CVE-Kennung auf. Das Update ist demnach verfügbar für iPhone 11 und neuer sowie für iPad Pro 12,9 Zoll (3. Generation und neuer), iPad Pro 11 Zoll (1. Generation und neuer), iPad Air (3. Generation und neuer), iPad (8. Generation und neuer) und iPad mini (5. Generation und neuer).

21 der 29 Einträge betreffen WebKit

Der Schwerpunkt des Updates liegt eindeutig auf der Browser-Engine. Rechnet man WebKit, WebKit History und WebKit Storage zusammen, entfallen 21 der 29 Einträge auf diesen Bereich. Der Rest verteilt sich auf fünf weitere Komponenten.

Komponente Wofür sie zuständig ist CVE-Einträge
WebKit Darstellung von Webseiten 19
Kernel Systemkern 3
ImageIO Verarbeitung von Bilddateien 2
Audio Tonwiedergabe und -aufnahme 1
IOGPUFamily Grafikprozessor-Anbindung 1
Telephony Mobilfunk- und Netzverbindungen 1
WebKit History Browserverlauf 1
WebKit Storage Datenspeicher des Browsers 1
Quelle: Apple, „About the security content of iOS 26.6.1 and iPadOS 26.6.1“, veröffentlicht am 17. August 2026. Eigene Auszählung der dort aufgeführten CVE-Kennungen.

Die meisten WebKit-Einträge beschreibt Apple mit einer vergleichsweise milden Folge: Das Verarbeiten manipulierter Web-Inhalte könne Safari zum Absturz bringen. In einigen Fällen geht die Beschreibung weiter und nennt eine Speicherbeschädigung – jene Fehlerklasse, aus der sich in der Praxis das Ausführen fremden Programmcodes entwickeln kann. Für einen der beiden ImageIO-Einträge nennt Apple das Ausführen beliebigen Programmcodes ausdrücklich als mögliche Folge.

Warum WebKit in Apple-Updates fast immer die längste Liste stellt

WebKit ist die Engine, die auf dem iPhone Webseiten darstellt. Betroffen ist damit nicht allein Safari: Apple schreibt WebKit für Browser auf iOS grundsätzlich vor und lässt alternative Engines nur in der Europäischen Union zu. Setzt eine Browser-App auf WebKit auf, wirkt eine Lücke dort unabhängig davon, welche App installiert ist – und sie lässt sich allein durch den Aufruf einer präparierten Seite ansprechen. Entsprechend viele Einträge sammeln sich hier an.

Die bemerkenswerteste Lücke sitzt nicht im Browser

Interessanter als die Masse der Safari-Abstürze ist ein einzelner Eintrag in der Komponente Telephony. Apple beschreibt die Auswirkung dort so: Wer sich in einer privilegierten Netzwerkposition befinde, könne möglicherweise die IPSec-Authentifizierung umgehen und Netzwerkverkehr mitlesen. Behoben worden sei ein Authentifizierungsproblem durch eine verbesserte Zustandsverwaltung.

IPSec ist ein Verfahren, mit dem Datenverbindungen verschlüsselt und Gegenstellen überprüft werden. Es steckt unter anderem in vielen Firmen-VPNs und in der Anbindung von Mobilgeräten an Unternehmensnetze. Die von Apple genannte Voraussetzung – eine privilegierte Netzwerkposition – schränkt die Reichweite deutlich ein: Gemeint ist typischerweise eine Position, von der aus der Datenweg bereits kontrolliert wird, etwa in einem fremden WLAN. Für Betriebe in Deutschland, Österreich und der Schweiz, die iPhones über IPSec an das Firmennetz anbinden, ist dieser Eintrag dennoch der Punkt, der die Dringlichkeit des Updates begründet. Zu der Frage, seit wann die Schwachstelle bestand, macht Apple auf der Seite keine Angaben.

Kein Hinweis auf laufende Angriffe – dafür ein großes Update für ältere Geräte

Weiß Apple von einer aktiv ausgenutzten Lücke, vermerkt der Konzern das in seinen Sicherheitsdokumenten mit einem festen Satz: Man sei über einen Bericht informiert, wonach das Problem ausgenutzt worden sein könnte. Dieser Satz steht bei keinem der 29 Einträge zu iOS 26.6.1. Das ist kein Freibrief zum Abwarten – veröffentlichte Schwachstellenbeschreibungen erleichtern das Nachbauen eines Angriffs –, aber es ist ein Unterschied zu jenen Notfall-Updates, die Apple in den vergangenen Jahren mehrfach kurzfristig ausgeliefert hat.

Parallel erschienen laut der Übersicht der Apple-Sicherheitsveröffentlichungen am selben Tag iPadOS 26.6.1, macOS Tahoe 26.6.2 und visionOS 26.6.1, zu dem Apple bislang nur „Details coming soon“ vermerkt. Eigene Einträge für tvOS, watchOS oder Safari gibt es zu diesem Datum nicht.

Für ältere Geräte, die iOS 26 nicht mehr erhalten, liefert Apple am selben Tag iOS 18.7.10 und iPadOS 18.7.10 aus – verfügbar für iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation. Dieses Update fällt deutlich umfangreicher aus: Es führt Korrekturen aus mehreren Dutzend Komponenten zusammen, darunter Kernel, Kontakte, ImageIO, Model I/O, SceneKit, WebRTC und WLAN. Wer eines dieser Geräte weiter nutzt, gewinnt durch das Nachziehen also mehr als beim regulären Update.

Ein größerer Funktionssprung steht getrennt davon an: iOS 27 wird nach Einschätzung von 9to5Mac für Mitte September erwartet.

Zum Hintergrund: NETZ-TRENDS hat am Montag darüber berichtet, dass das Bundeskartellamt in Bonn Apples Zusagen zur Tracking-Abfrage für bindend erklärt hat. Wie das Portal Sicherheitsupdates von Apple einordnet, zeigt auch der Beitrag zu iOS 18.0.1 aus dem Jahr 2024.

Wie beurteilen Sie es, dass Apple das Update zunächst ohne Angaben zu den geschlossenen Lücken ausgeliefert hat? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.

Quellen

Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.

Kennzeichnung des Bildmaterials: Das Beitragsbild ist ein KI-generiertes Bild. Es zeigt kein reales Ereignis, ist kein Produktfoto und keine Aufnahme einer realen Person. Die Kennzeichnung erfolgt dreifach – sichtbar im Bild selbst, in der Bildunterschrift sowie maschinenlesbar in den Bild-Metadaten (IPTC „Digital Source Type“: trainedAlgorithmicMedia). Grundlage sind die Transparenzpflichten aus Artikel 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz, die seit dem 2. August 2026 gelten.

AppleiOSSicherheitslückeSicherheitsupdateWebKit

Kommentar schreiben