Noch auf iOS 16? Hacker nutzen einen Safari-Fehler von 2024 auf alten iPhones

Am 4. November 2026 hat die US-Behörde Cybersecurity and Infrastructure Security Agency die Schwachstelle CVE-2024-27834, einen Fehler in Apple WebKit, in ihren Known Exploited Vulnerabilities catalog aufgenommen. US-Bundesbehörden haben bis zum 18. November 2026 Zeit, sie zu patchen. CISA führt das betroffene Produkt als Apple „Multiple Products“.

Der Fehler stammt aus dem Jahr 2024. Apple behob ihn am 13. Mai 2024 in iOS 17.5 und Safari 17.5 sowie in iOS 16.7.8 für die älteren Modelle iPhone 8, iPhone 8 Plus und iPhone X. Er macht wieder Schlagzeilen, weil Angreifer ihn weiterhin gegen Telefone einsetzen, die das Update nie installiert haben. Die Korrektur existiert seit über zwei Jahren. Betroffen sind die Geräte, die vor Mai 2024 aufgehört haben, Updates zu erhalten.

Kurze Zusammenfassung vor den Details:

• Wenn Ihr iPhone 8, 8 Plus oder X mit iOS 16.7.8 oder neuer läuft, funktioniert diese konkrete Angriffskette darauf nicht.
• Wenn es bei iOS 16.7.7 oder älter stehen geblieben ist, sind Sie angreifbar und sollten heute aktualisieren.
• Wenn Sie eine alte Version von Chrome auf Android nutzen, gilt eine verwandte Attacke auch für Sie. Chrome 146 oder neuer behebt sie.

Was hat CISA am 4. November ergänzt, und warum ist ein Bug aus 2024 zurück?

Die Schwachstelle selbst sitzt in WebKit, der Browser-Engine hinter Safari und den meisten iPhone-Browsern. Sie erlaubt einem Angreifer, der bereits Lese- und Schreibzugriff auf den Speicher hat, an Pointer Authentication vorbeizukommen, einer Schutzfunktion des iPhone. Apple nennt Manfred Paul, der mit der Zero Day Initiative von Trend Micro zusammenarbeitet. Die ursprünglichen Fix-Hinweise von Apple finden Sie für iOS 17.5 und für iOS 16.7.8.

Die Kampagne hinter dem CISA-Eintrag wurde von Sekoia, einem französischen Sicherheitsunternehmen, in einem am selben Tag veröffentlichten Bericht dokumentiert. Was sie machte, behandeln wir in den nächsten Abschnitten.

Welche Telefone sind betroffen?

Die von Sekoia dokumentierten Angriffsketten lassen sich nach Gerät und Softwareversion unterscheiden. Die iPhone-Kette um CVE-2024-27834 funktioniert nur auf Geräten mit iOS 16.7.7 oder älter, weil Apple diese Schwachstelle bereits im Mai 2024 mit iOS 16.7.8 geschlossen hat. Eine zweite iPhone-Kette zielt auf iOS 18.5 ab, eine dritte auf Chrome unter Android, konkret auf die Versionen 139 bis 145.

Für das iPhone 8, 8 Plus und X gilt eine Einschränkung. Diese Geräte erhalten auf iOS 16 nur gelegentlich Korrekturen, nicht jede. Ein vollständig auf iOS 16.7.16 aktualisiertes Telefon bricht Kette A, kann aber weiterhin andere WebKit-Schwachstellen enthalten, die neuere iOS-Versionen geschlossen haben. Das schränkt ein, wofür diese Telefone noch genutzt werden sollten, worauf wir unten eingehen.

Wie wurde ein Website-Besuch zu einem Angriff?

Die Methode heißt Watering Hole. Statt den Zielen einen Link oder eine Nachricht zu schicken, platzieren Angreifer Code auf Websites, die diese Ziele wahrscheinlich besuchen. Man ruft eine vertraute Seite auf, und die Seite liefert den Exploit aus.

Sekoia hat dokumentiert, welche Seiten in diese Kampagne verwickelt waren. Es waren keine Nachrichtenseiten. Die Liste umfasste gehackte legitime Seiten: ein ukrainisches Erdgas-Förderunternehmen, einen US-Fachverband der Chemieindustrie, eine tschechische Partei und eine bulgarische Seite mit Militärbezug. Dazu kamen zwei Lookalike-Domains, eine imitierte die US-Jubiläumsseite America250, die andere ein Luxushotel in London. Ein gehacktes ukrainisches Web-Analyse-Skript, Plerdy, lag vom 27. August bis zum 3. September 2026 auf Tausenden überwiegend ukrainischen Websites. Betroffen waren die USA, die Ukraine, Tschechien und Bulgarien, über die Hotel-Lookalike-Domain zusätzlich Großbritannien.

Zwei Details sind für alle, die das auf einem Handy lesen, am wichtigsten:

• Kein Tippen nötig. Sekoia zufolge wurden die Exploits ohne Nutzerinteraktion ausgeliefert. Das Laden der Seite genügte.
• Nach einem Neustart blieb nichts auf dem Handy zurück. Es gab keine Persistenz.

Sekoia ordnet die Kampagne mit mittlerer bis hoher Sicherheit APT29 zu, einer Gruppe, die nach Angaben des Unternehmens vielfach mit dem russischen Auslandsgeheimdienst in Verbindung gebracht wird. Abgesehen von der Zuschreibung bleibt die praktische Lehre dieselbe wie in unserem Artikel zu Safari und WebKit von 2018: Ein gepatchter Browser macht den Unterschied zwischen einer gefährlichen und einer harmlosen Seite. Sekoias eigenes Fazit ist, dass Nutzer mit einem aktuellen Betriebssystem vor diesen Angriffen geschützt sind, denn jede Schwachstelle war vom Hersteller behoben, bevor die Kampagne begann.

Ist ein iPhone 8 oder iPhone X nach dem Update sicher?

Weitgehend ja. Kette A benötigt zwei Schwachstellen, die zusammenwirken. Eine davon, CVE-2024-27834, wurde laut Apples Hinweisen mit iOS 16.7.8 am 13. Mai 2024 behoben. Ein Telefon mit iOS 16.7.8 oder neuer, einschließlich des aktuellen iOS 16.7.16, unterbricht also diese Kette. Der Angriff funktioniert darauf nicht.

Die Grenze ist die andere Schwachstelle der Kette, CVE-2025-43529. Apples Hinweise führen eine Behebung dafür in iOS 18 und iOS 26 auf, aber keine für iOS 16. Ein vollständig aktualisiertes iPhone 8 oder X blockiert diese Kampagne daher, kann aber weiterhin andere WebKit-Schwachstellen tragen, die neuere iPhones nicht mehr haben. iOS 16 erhält gelegentlich Korrekturen, nicht jede Korrektur, und der Abstand zur aktuellen iOS-Version wächst mit der Zeit.

Was das in der Praxis bedeutet:

• Ein Telefon mit iOS 16.7.7 oder älter ist Kette A ausgesetzt. Noch heute auf iOS 16.7.16 aktualisieren, unter Einstellungen, dann Allgemein, dann Softwareupdate.
• Ein Telefon mit iOS 16.7.16 ist vor dieser Kampagne sicher, sollte aber nicht als vollständig gepatcht behandelt werden. Es für Anrufe, Nachrichten und Surfen behalten, Banking- und Arbeitskonten auf ein neueres Telefon verschieben.
• Ein Telefon, das gar keine Updates mehr erhält, sollte ausgemustert werden. Es sammelt mit der Zeit ungepatchte Browser-Schwachstellen an.

Die aktuelle iOS-16-Version, 16.7.16, erschien am 11. Mai 2026, laut Apples Versionshinweisen.

Was ist mit Android-Handys und Chrome?

Die dritte Kette zielt auf Android ab, nicht auf iOS. Sie kombiniert CVE-2026-3910, eine Schwachstelle in Chrome, mit CVE-2025-27038, einer Schwachstelle in einem Grafiktreiber von Qualcomm. Laut Sekoia stiehlt sie Chrome-Cookies, gespeicherte Anmeldedaten, den Browserverlauf und WLAN-Einstellungen.

Die Chrome-Schwachstelle wurde am 12. März 2026 in Chrome 146 auf Desktop und Android geschlossen. Google erklärte damals, dass ein Exploit bereits im Umlauf war. Das heißt, hier gilt dieselbe Regel: Betroffen sind die Handys, die mit Chrome 139 bis 145 laufen, also Versionen, die vor März 2026 keine Updates mehr erhalten haben.

Auf Android sind zwei getrennte Updates relevant, und sie kommen nicht gleichzeitig:

• Der Browser: Play Store öffnen, nach Chrome suchen und auf „Aktualisieren“ tippen. Die installierte Version lässt sich in Chromes Einstellungen unter „Über Chrome“ prüfen. Sie sollten 146 oder höher haben.
• Das Betriebssystem: Die Qualcomm-Treiberschwachstelle wird über Android-Systemupdates geschlossen, unter „Einstellungen“ und dann „System“ oder „Softwareupdate“. Ein aktueller Chrome auf einem ungepatchten Android-System birgt weiterhin die zweite Hälfte der Kette.

Ob der Treiber-Fix ein bestimmtes Handy erreicht, hängt davon ab, ob der Hersteller Systemupdates ausliefert. Ein Handy, das keine bekommt, sollte ausgemustert werden, genau wie ein altes iPhone. Das Risiko konzentriert sich auf Handys, deren Besitzer die Updates, die sie erhalten, nie installieren, und genau dieses Muster zeigt sich bei allen drei Ketten dieser Kampagne. Wenn Ihr Chrome seit Monaten auf Version 145 oder niedriger steht, nehmen Sie das zum Anlass, heute nach Updates zu suchen.

Was sollten Sie heute tun?

Die Behebungen sind gewöhnliche Updates, und jede Schwachstelle in dieser Kampagne wurde vom Hersteller gepatcht, bevor die Angriffe begannen.

• Auf dem iPhone gehen Sie zu Einstellungen, dann Allgemein, dann Softwareupdate, und installieren Sie das angebotene Update. Besitzer eines iPhone 8, 8 Plus oder X sollten auf iOS 16.7.16 oder neuer landen.
• Auf Android öffnen Sie den Play Store, suchen nach Chrome und tippen auf Aktualisieren. Prüfen Sie das Ergebnis in den Chrome-Einstellungen unter Über Chrome. Sie wollen Version 146 oder neuer.
• Installieren Sie Android-Systemupdates separat, unter Einstellungen, dann System oder Softwareupdate. Das Browser-Update allein schließt nicht die ganze Kette.
• Wenn Ihr Telefon gar keine Updates mehr erhält, nutzen Sie es nicht mehr für Banking, Arbeitskonten und Einkäufe. Verlagern Sie diese Konten auf ein Gerät, das weiterhin Patches bekommt.
• Wenn Sie ein iPhone 8, 8 Plus oder X für Sensibles wie Banking oder Arbeitskonten nutzen, planen Sie den Ersatz. Gelegentliche Korrekturen sind nicht dasselbe wie volle Unterstützung.
• Sekoia fand keine Persistenz, nach einem Neustart bleibt also nichts auf dem Telefon zurück, aber bereits entnommene Cookies bleiben entnommen; falls ein ungepatchtes Telefon eine dieser Seiten geladen haben könnte, melden Sie sich von allen Sitzungen Ihrer wichtigen Konten ab und wieder an.

Nichts davon ist ein neuer Rat. Es ist dieselbe Routine, die wir in unserem Beitrag von 2014 zu einer Apple-SSL-Schwachstelle beschrieben haben: nach Updates suchen, sie installieren, wiederholen. Unser Mobile-Security-Hub sammelt weitere solcher Grundlagen an einem Ort.

Kann ein VPN Sie vor einem Browser-Exploit schützen?

Nein. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den besuchten Websites. Es schützt Sie in öffentlichen WLAN-Netzen, worauf wir in unserem Artikel zu öffentlichem WLAN eingehen. Es patcht weder Safari noch Chrome, und es prüft nicht die Seiten, die Sie laden.

Die Exploits dieser Kampagne kamen über den Browser selbst. Liefert eine manipulierte Seite einen Exploit aus, gelangt dieser innerhalb des verschlüsselten Tunnels an, genau wie der Rest der Seite. Das VPN sieht einen Strom verschlüsselten Datenverkehrs zu einem Server; es kann eine feindliche Seite nicht von einer harmlosen unterscheiden. Verschlüsselung schützt die Daten auf dem Transportweg, nicht den Code, den Ihr Browser nach der Ankunft ausführt.

Wo ein VPN tatsächlich hilft, ist der Rest Ihrer mobilen Nutzung. Im WLAN von Hotels, Flughäfen oder Cafés hält es Ihren Datenverkehr von allen anderen in diesem Netz fern. Es ist das Szenario aus unserem Artikel zu öffentlichem WLAN. Das ist ein anderes Problem als das, das diese Kampagne ausnutzt.

Die beiden Ebenen erfüllen unterschiedliche Aufgaben. Updates schließen die Schwachstellen, auf die Browser-Exploits angewiesen sind. Ein VPN schützt Ihren Datenverkehr in Netzen, die Sie nicht kontrollieren. Ein VPN ist die eine Ebene, Updates die andere.