Apple hat einen dringenden Patch für eine neu offengelegte iOS-Zero-Click-Schwachstelle in CoreGraphics veröffentlicht – ein Fehler, der laut Computerworld „die prekäre Natur der Sicherheit mobiler Endpunkte" unterstreicht. Der Bug ist eine Erinnerung daran, dass einige der schwerwiegendsten Bedrohungen für iPhones und iPads den Nutzer nie auffordern, etwas anzuklicken, anzutippen oder zu genehmigen. Für datenschutzbewusste Leser ist der wichtigste Schritt zugleich der einfachste: Aktualisieren Sie Ihr Gerät. ## Was die iOS-Zero-Click-CoreGraphics-Schwachstelle ist CoreGraphics ist das Apple-Framework, das macOS und iOS zum Rendern und Verarbeiten von Grafiken verwenden. Da nahezu jede App und jeder Systemdienst, der ein Bild oder Dokument anzeigt, diese Art von Code berührt, kann ein Fehler hier auf viele verschiedene Weisen erreichbar sein. Nach Angaben von Sicherheitsanbietern, die das Problem verfolgen, wird der Bug als CVE-2026-86950 geführt und ist ein Out-of-Bounds-Write. Die Berichterstattung über den Patch besagt, dass die Verarbeitung einer bösartig erstellten Datei es einem Angreifer ermöglichen könnte, Code auf einem Gerät auszuführen. Die Berichterstattung beschreibt die Schwachstelle zudem als in ausgeklügelten, gezielten Angriffen ausgenutzt, bevor der Fix eintraf – was sie zu einem Zero-Day macht. Apple hat Notfall-Sicherheitsupdates für iOS und iPadOS veröffentlicht, um das Problem zu beheben. Wir haben in dem uns vorliegenden Material keine Hinweise auf eine breite, wahllose Ausnutzung gesehen. Die Berichterstattung deutet auf eine enge, gezielte Nutzung hin. ## Warum Zero-Click-Exploits gezielte Spyware ermöglichen Ein typischer Phishing-Angriff erfordert, dass ein Opfer einen Fehler macht: einen Anhang öffnet, auf einen Link tippt oder ein Passwort eingibt. Ein Zero-Click-Exploit nimmt das Opfer aus der Gleichung heraus. Eine speziell präparierte Datei wird auf das Gerät geliefert, der anfällige Code verarbeitet sie automatisch, und der Angreifer erlangt einen Fuß in die Tür, ohne dass es sichtbare Anzeichen gibt. Deshalb wird diese Klasse von Bugs so eng mit kommerzieller Spyware wie dem Pegasus von NSO Group in Verbindung gebracht. Spyware-Betreiber schätzen den interaktionsfreien Einstieg, weil er selbst gegen sorgfältige, sicherheitsbewusste Ziele funktioniert. Schulungen und gute Gewohnheiten spielen eine geringere Rolle, wenn der Angriff nie eine Wahl bietet. Auch die Ökonomie erklärt die Rahmung als „Wettrüsten". Angreifer investieren in das Auffinden von Fehlern bei der Speicherverwaltung in weit verbreiteten Komponenten wie Bild- und Grafikparsern. Anbieter patchen sie. Angreifer suchen dann den nächsten. Jeder Fix schließt eine Tür, aber der umgebende Code ist groß und komplex, sodass ständig neue Bugs auftauchen. Das ist nicht auf Apple beschränkt. Wir haben kürzlich darüber berichtet, wie die [niederländische Cyber-Behörde einen aktiven macOS-Zero-Day-Angriff bestätigte](/en/dutch-cyber-agency-confirms-active-macos-zero-day-attack) – ein weiteres Zeichen dafür, dass Angreifer aktiv gegen Apple-Plattformen vorgehen. ## Warum ein VPN diese Art von Angriff nicht stoppt Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Das ist nützlich für die Privatsphäre in öffentlichen WLANs und dafür, zu begrenzen, was Ihr Netzwerkanbieter sehen kann. Es ändert jedoch nichts daran, was passiert, sobald eine bösartige Datei Ihr Gerät erreicht. In einem Zero-Click-Szenario wird die Angriffsnutzlast über eine App oder einen Dienst geliefert, die bzw. der bereits auf Ihrem Telefon läuft. Der VPN-Tunnel transportiert die Daten lediglich zum Gerät, und die anfällige Komponente verarbeitet sie wie gewohnt. Ein VPN ist kein Inhalts-Scanner und repariert keine Fehler im Betriebssystem. Das macht VPNs nicht sinnlos. Sie adressieren eine andere Risikokategorie, etwa Netzwerk-Ausspähung und IP-basiertes Tracking. Aber sie sind keine Verteidigung gegen eine Betriebssystem-Schwachstelle. Die einzige echte Lösung für einen solchen Bug ist der Patch des Anbieters, plus – wo möglich – die Verringerung der Exposition des Geräts. ## Was das für Sie bedeutet Für die meisten Menschen ist die Wahrscheinlichkeit, persönlich von einem Spyware-Betreiber ins Visier genommen zu werden, gering. Die Berichterstattung über diese Schwachstelle beschreibt gezielte Angriffe, keine Massenkampagnen. Aber der Patch ist kostenlos, und das Expositionsfenster ist die Zeit zwischen der Veröffentlichung eines Fixes und Ihrer Installation. Angreifer können Patches studieren, um zu verstehen, was behoben wurde, sodass eine Verzögerung der Aktualisierung unnötigen Spielraum lässt. Dieses schrumpfende Fenster ist ein übergreifendes Thema. Unsere Berichterstattung über [CISA's 3-Tage-Patch-Anordnung](/en/361-orgs-breached-in-5-days-cisa-s-3-day-patch-order) zeigt, wie wenig Zeit Organisationen heute haben, um auf kritische Schwachstellen zu reagieren. Einzelpersonen stehen unter demselben Druck, nur mit weniger Ressourcen. Wenn Sie Journalist, Aktivist, Anwalt, Führungskraft oder sonst jemand sind, der plausibel einen gut finanzierten Gegner anziehen könnte, nehmen Sie dies ernster, als es der durchschnittliche Nutzer tun sollte. ## Was iPhone- und iPad-Nutzer jetzt tun sollten - **Sofort aktualisieren.** Öffnen Sie Einstellungen, dann Allgemein, dann Softwareupdate, und installieren Sie die neueste iOS- oder iPadOS-Version. Aktivieren Sie automatische Updates, damit künftige Fixes ohne Verzögerung eintreffen. - **Aktivieren Sie den Lockdown-Modus, wenn Sie einem erhöhten Risiko ausgesetzt sind.** Apple hat diesen optionalen Modus für Menschen entwickelt, die möglicherweise gezielten digitalen Bedrohungen ausgesetzt sind. Er schränkt bestimmte Funktionen und Angriffsflächen ein und bringt Kompromisse bei der Funktionalität mit sich. - **Starten Sie Ihr Gerät regelmäßig neu.** Das ist kein Heilmittel, kann aber einige nicht-persistente Kompromittierungen stören. - **Aktualisieren Sie jedes Apple-Gerät, das Sie besitzen.** CoreGraphics wird sowohl unter iOS als auch unter macOS verwendet, prüfen Sie also auch Ihren Mac und Ihr iPad. - **Nutzen Sie ein VPN weiterhin für das, was es gut kann,** aber verlassen Sie sich nicht darauf, um sich gegen Betriebssystemfehler zu schützen. ## Das Fazit Die iOS-Zero-Click-CoreGraphics-Schwachstelle ist ein klares Beispiel für eine Bedrohung, die kein VPN, kein Ad-Blocker und keine sorgfältige Browsing-Gewohnheit stoppen kann. Patchen ist die Verteidigung, die funktioniert. Installieren Sie jetzt das neueste iOS- oder iPadOS-Update, aktivieren Sie den Lockdown-Modus, wenn Ihr Profil Sie einem höheren Risiko aussetzt, und lesen Sie unsere verwandte Berichterstattung über aktive Zero-Day-Ausnutzung und schrumpfende Patch-Fenster, um zu verstehen, warum Geschwindigkeit zählt.