Apple-Updates im August 2026: Warum ältere iPhones 122 Lücken schließen
Das BSI warnt vor mehreren Schwachstellen in macOS, iOS und iPadOS. Ein Blick in die Apple-Hinweise zeigt: Der Umfang hängt stark vom Gerät ab — und ein viertes Update fehlt in der Warnung.
Das BürgerCERT des BSI hat am 18. August 2026 eine technische Warnung veröffentlicht — WID-TW-2026-0241, Risiko hoch. Betroffen sind macOS, iOS und iPadOS. Die Empfehlung lautet, die Sicherheitsupdates zeitnah zu installieren.
So weit die Meldung. Interessanter wird es, wenn man die drei Apple-Hinweise dahinter tatsächlich aufschlägt. Dann zeigt sich nämlich: Wie groß dieses Update für Sie ist, hängt massiv davon ab, wie alt Ihr Gerät ist. Und es gibt ein viertes Update, das in der Warnung gar nicht auftaucht — ausgerechnet für Macs, die nicht auf der neuesten Version laufen.
Die Kurzfassung
| Ihr Gerät | Zielversion | Geschlossene Lücken |
|---|---|---|
| iPhone 11 und neuer, aktuelle iPads | iOS / iPadOS 26.6.1 | 29 |
| iPhone XS, XS Max, XR, iPad 7. Generation | iOS / iPadOS 18.7.10 | 122 |
| Mac mit macOS Tahoe | macOS Tahoe 26.6.2 | 28 |
| Mac mit macOS Sonoma oder Sequoia | Safari 26.6.1 | 21 |
Alle Angaben stammen aus den Sicherheitshinweisen von Apple vom 17. und 18. August 2026. In keinem der vier Dokumente steht ein Hinweis darauf, dass eine dieser Lücken bereits ausgenutzt wird — dazu später mehr.
Warum ältere Geräte das dickste Paket bekommen
Die Zahlen in der Tabelle sehen aus wie ein Fehler. 29 Lücken für aktuelle iPhones, aber 122 für ein iPhone XR von 2018? Das ist kein Fehler, sondern der Blick in ein System, das viele nicht kennen.
Apple pflegt zwei Zweige parallel. Auf neuen Geräten läuft iOS 26, das laufend Korrekturen erhält — jede Kleinigkeit wird dort im nächsten Punkt-Update ausgeliefert. Ältere Geräte, die iOS 26 nicht mehr bekommen, hängen am 18.7er-Zweig. Dort sammelt Apple die sicherheitsrelevanten Korrekturen und liefert sie gebündelt aus, in größeren Abständen.
Die 122 CVE-Nummern in iOS 18.7.10 sind deshalb nicht 122 neue Probleme. Es sind überwiegend Korrekturen, die neuere Geräte in den vergangenen Monaten längst Stück für Stück bekommen haben — jetzt nachgereicht in einem einzigen Paket. Betroffen ist dieser Zweig nur noch für eine kleine Gerätegruppe: iPhone XS, iPhone XS Max, iPhone XR und das iPad der 7. Generation.
Für Sie heißt das zweierlei. Erstens: Wenn Sie eines dieser Geräte nutzen, ist dieses Update das wichtigere von beiden — nicht das unwichtigere. Zweitens: Die Lücke zwischen „Fehler behoben” und „Fehler auf Ihrem Gerät behoben” ist auf dem alten Zweig strukturell größer. Das ist kein Vorwurf an Apple, sondern schlicht ein Argument dafür, den Gerätewechsel nicht ewig zu schieben.
Wo die 122 Nummern landen, ist übrigens aufschlussreich: 21 betreffen WebKit (die Browser-Engine), 15 den Kernel, sieben die 3D-Komponente Model I/O und vier die Bildverarbeitung ImageIO. Es geht also im Kern um genau das, was ein Telefon den ganzen Tag tut — fremde Inhalte anzeigen.
Das vierte Update, das in der Warnung fehlt
Die BSI-Meldung nennt drei Apple-Dokumente und als betroffenes macOS nur Tahoe. Wer einen Mac mit Sonoma oder Sequoia betreibt, könnte daraus schließen, nicht betroffen zu sein. Das wäre ein Trugschluss.
Apple hat am 18. August zusätzlich Safari 26.6.1 veröffentlicht — ausdrücklich „für macOS Sonoma und macOS Sequoia”, mit 21 WebKit-Lücken. Es sind dieselben Nummern, die auf Tahoe im großen Systemupdate stecken. Wer also nicht auf die neueste macOS-Version aktualisiert hat, bekommt die Korrekturen nur über das Safari-Update — und muss es entsprechend gezielt installieren.
Das ist der Punkt, an dem sich das Nachlesen der Originalquelle bezahlt macht. Warnmeldungen fassen zusammen; die Zusammenfassung ist selten falsch, aber sie ist eben eine Auswahl.
Was in den Lücken tatsächlich steckt
Die BSI-Zusammenfassung listet die möglichen Folgen in einem Satz: Schadcode ausführen, Sicherheitsmaßnahmen umgehen, vertrauliche Informationen stehlen, Daten verändern, Speicher beschädigen, Systemabsturz. Das klingt nach allem gleichzeitig. Drei Einträge lohnen den genaueren Blick, weil sie zeigen, wie so etwas im Alltag ankommt.
Ein Bild genügt. In der Bildverarbeitung ImageIO steckt eine Lücke, über die das bloße Verarbeiten eines präparierten Bildes zur Ausführung von fremdem Code führen kann — auf aktuellen Geräten CVE-2026-65346 (ein Integer-Überlauf), auf dem 18.7er-Zweig CVE-2026-43818. „Verarbeiten” heißt hier nicht „anklicken”. Es genügt, dass das Gerät eine Vorschau erzeugt — in einer Nachricht, in einer Mail, in einem Chat. Genau diese Klasse von Lücken bildet seit Jahren den Einstieg professioneller Angriffsketten.
Web-Inhalte, in jedem Browser. Der größte Block betrifft WebKit. In der BSI-Sprache: „die Verarbeitung von böswillig gestalteten Webinhalten” — im Klartext: eine Webseite. Wichtig für iPhone und iPad: Auf iOS ist jeder Browser WebKit. Chrome, Firefox und Edge sind dort Oberflächen auf derselben Engine. Ein anderer Browser schützt Sie hier also nicht; nur das Systemupdate tut es.
Verschlüsselung, die nicht greift. Ein Eintrag im 26.6.1-Hinweis fällt heraus: CVE-2026-65329 in der Telefonie-Komponente. Ein Angreifer in privilegierter Netzwerkposition konnte die IPSec-Authentifizierung umgehen und Datenverkehr mitlesen. Gefunden hat das eine Gruppe der Ruhr-Universität Bochum. „Privilegierte Netzwerkposition” bedeutet in der Praxis: jemand, der das Netz kontrolliert, in dem Sie hängen — das offene WLAN im Hotel, im Café, auf der Messe.
Wie dringend ist das?
Hier lohnt Nüchternheit. Keines der vier Apple-Dokumente enthält den Satz, mit dem Apple sonst auf laufende Angriffe hinweist („Apple is aware of a report that this issue may have been exploited”). Nach heutigem Stand wird also keine dieser Lücken aktiv ausgenutzt. Das BSI stuft das Risiko dennoch als hoch ein, und das ist angemessen: Ab Veröffentlichung sind die Korrekturen öffentlich einsehbar, und aus einer Korrektur lässt sich rückwärts erschließen, wo der Fehler saß.
Der praktische Rat lautet deshalb nicht „sofort alles stehen und liegen lassen”, sondern: diese Woche erledigen, nicht irgendwann.
Was jetzt zu tun ist
Auf iPhone und iPad: Einstellungen → Allgemein → Softwareupdate. Prüfen Sie im selben Schritt unter Automatische Updates, ob „iOS-Updates installieren” aktiviert ist. Erfahrungsgemäß ist genau das auf vielen Geräten irgendwann abgeschaltet worden, weil das Update nachts einmal ungelegen kam.
Auf dem Mac: Systemeinstellungen → Allgemein → Softwareupdate. Auf Sonoma und Sequoia erscheint das Safari-Update an derselben Stelle — es ist ein eigener Eintrag, den man leicht übersieht, wenn man nur nach einer neuen macOS-Version Ausschau hält.
In Unternehmen mit verwalteten Geräten: Prüfen Sie Ihre Aufschub-Richtlinien. In Intune, Jamf und ähnlichen Lösungen lassen sich Updates um bis zu 90 Tage verzögern — sinnvoll gegen überstürzte Funktionsupdates, aber fatal, wenn dieselbe Regel auch Sicherheitsupdates ausbremst. Trennen Sie beides.
Und danach: Ein Neustart gehört dazu. Ein Update, das installiert, aber nicht abgeschlossen wurde, schützt nicht.
Eine Randnotiz zum Merken
Wer die Danksagungen in den Apple-Hinweisen liest, stolpert über einen Namen, der in allen vier Dokumenten je neun- bis zehnmal auftaucht: „OpenAI Codex Security”. Ein erheblicher Teil der WebKit-Funde geht auf ein KI-gestütztes Sicherheitsteam zurück.
Wir hatten das an dieser Stelle schon einmal — die WordPress-Angriffskette wp2shell wurde ebenfalls mithilfe eines KI-Modells gefunden. Was sich hier abzeichnet, ist kein Einzelfall mehr, sondern eine Verschiebung: Systematisches Absuchen großer Codebestände wird billig. Das ist zunächst eine gute Nachricht, denn diese Funde landen in Sicherheitsupdates. Es bedeutet aber auch, dass die Zahl bekannt gewordener Lücken pro Update eher steigen wird — und dass „Ich update später mal” mit jedem Jahr teurer wird.
Viele Geräte, wenig Überblick?
Wir richten die Update-Verwaltung so ein, dass Sicherheitsupdates verlässlich ankommen — auf Macs, iPhones und iPads gleichermaßen, mit getrennten Regeln für Funktions- und Sicherheitsupdates. Sie erfahren dann nicht aus einer Warnmeldung, dass ein Gerät zurückhängt.
Schreiben Sie uns — wir sehen uns Ihren Bestand einmal in Ruhe an.
Quellen: BSI-BürgerCERT, Technische Warnung WID-TW-2026-0241 vom 18.08.2026. Apple-Sicherheitshinweise 148281 (macOS Tahoe 26.6.2), 148282 (iOS/iPadOS 26.6.1), 148287 (iOS/iPadOS 18.7.10) und 148286 (Safari 26.6.1). Die Anzahl der Lücken wurde durch Auszählen der CVE-Nummern in den Originaldokumenten ermittelt, Stand 20.08.2026.