Eine KI fand neun Fehler im Browser Ihres Handys

Was tatsächlich veröffentlicht wurde

Apple veröffentlichte laut eigenem Sicherheits-Advisory am 17. August 2026 iOS 26.6.1, iPadOS 26.6.1 und macOS Tahoe 26.6.2. Das Update schließt 29 CVEs, davon 21 in WebKit, der Browser-Engine, die jede in Safari geöffnete Website rendert und, weil Apple jeden Drittanbieter-Browser auf iOS zur selben Engine zwingt, auch Chrome, Firefox und Edge auf einem iPhone betrifft. Ein Fehler in WebKit bleibt kein Safari-Problem, er wird zum Problem für jedes Browser-Symbol auf dem Homescreen.

Die übrigen acht betreffen drei separate Kernel-Schwachstellen, einen Audio-Verarbeitungsfehler, der sensible Informationen an eine bösartige App preisgeben könnte, einen Bildanalysefehler, der beliebigen Code ausführen könnte, sowie ein Telefonie-Authentifizierungsproblem, das einem Angreifer in privilegierter Netzwerkposition erlauben könnte, die IPSec-Authentifizierung zu umgehen und Datenverkehr zu lesen oder zu verändern. Mehrere Berichte weisen darauf hin, dass Speicherfehler in WebKit mit wenig oder gar keiner Nutzerinteraktion verkettet werden können.

Die Autorenzeile, die niemand erwartet hatte

Tief in Apples eigener Credit-Liste für dieses Release steht ein Name, der noch nie so viel Gewicht trug. OpenAI Codex Security wird die Entdeckung von neun der 21 gepatchten WebKit-Schwachstellen zugeschrieben, mehr als jeder einzelne menschliche Forscher, der im selben Dokument genannt wird. Es ist nicht das erste Mal, dass Apple ein KI-System würdigt: Bereits im Juni schrieb das Sicherheitsbulletin für iOS 26.2 OpenAIs Codex Security und Anthropics Claude, gemeinsam mit den namentlich genannten Forschern Milad Nasr und Nicholas Carlini, vier WebKit-Funde zu, das erste Mal überhaupt, dass Apple ein KI-System formal als Mitentdecker aufführte.

Neun Gutschriften in einem einzigen Release, gegenüber vier sieben Wochen zuvor, ist kein Einzelfall. Es passt zu etwas anderem: Dies ist Apples dritte Sicherheitsveröffentlichung in ebenso vielen Wochen, ein Tempo, das das Unternehmen in seiner regulären Update-Historie bisher nicht gehalten hat. Berichte über das Release verbinden beide Fakten auf dieselbe Weise wie dieser Artikel: Fehler tauchen schneller auf, als Apples übliches Release-Schema verarbeiten kann, zurückgeführt auf KI-gestützte Entdeckungswerkzeuge statt auf eine plötzliche Änderung der Sorgfalt beim Schreiben von WebKit-Code.

Warum das Tempo die eigentliche Geschichte ist

Dass ein einzelnes KI-System neun zuvor unbekannte Schwachstellen in einem der am stärksten geprüften Software-Teile findet, die Apple ausliefert, ist für sich genommen nicht alarmierend, genau dafür ist ein Sicherheitsforschungswerkzeug da. Was ein IT-Team aufhorchen lassen sollte, ist die Geschwindigkeit der Veränderung. WebKit wird seit über einem Jahrzehnt von professionellen Bug-Bounty-Jägern auseinandergenommen; der Kreis der Menschen, die dort einen verkettbaren Speicherfehler finden können, war immer klein und langsam. Ein System, das diese Ausbeute innerhalb weniger Wochen erreicht oder übertrifft, verändert die Rechnung, wie oft neue WebKit-Fehler gefunden werden, nicht nur, wer sie findet.

Die Werkzeuge, die diese Entdeckungsarbeit leisten, sind nicht exklusiv für Apples Bug-Bounty-Programm. Dieselbe Kategorie von KI-gestütztem Fuzzing und statischer Analyse, wie OpenAI und Anthropic sie gebaut haben, steht in weniger öffentlicher Form jedem zur Verfügung, der das Rechenbudget dafür hat, einschließlich Angreifern, die keinen Grund haben, ihre Funde zuerst Apple zu melden. Die Annahme eines Verteidigers, WebKit-Fehler tauchten langsam auf, entdeckt von einer kleinen, bekannten Forschergemeinschaft, war schon vor diesem Release veraltet. Drei Sicherheitsupdates in drei Wochen sind der bislang klarste öffentliche Beleg dafür, dass diese Annahme nicht mehr gilt.

Was Sie prüfen sollten, bevor Sie das Update aufschieben

Jeder Browser auf einem iPhone oder iPad läuft auf WebKit, das Aufschieben dieses Updates, weil die eigene Organisation angeblich kein Safari nutzt, beseitigt die Angriffsfläche also nicht; Chrome, Firefox und Edge auf iOS erben dieselbe Engine und dieselben 21 behobenen Fehler. Für Organisationen im Anwendungsbereich der EU-Richtlinie NIS2 oder unter britischer NCSC-Leitlinie ist zeitnahes Patchen bekannter Schwachstellen längst keine reine Best Practice mehr, es gehört zu den Erwartungen an das Schwachstellenmanagement, die Aufsichtsbehörden inzwischen durchsetzen. Wer iPhones oder Macs per Mobile Device Management verwaltet, sollte prüfen, wie lang das aktuelle Aufschubfenster eingestellt ist und ob es auf der Annahme monatlicher, nicht wöchentlicher, Offenlegungen beruht.

Keine der 29 von Apple in dieser Woche aufgeführten Schwachstellen wird im Advisory als vor dem Patch aktiv ausgenutzt gekennzeichnet, das ist die gute Nachricht. Weniger beruhigend ist, dass das Unternehmen dafür eine dritte Veröffentlichung im Notfalltempo innerhalb von drei Wochen brauchte und dass ein KI-Werkzeug, nicht ein Mensch, den größten Einzelanteil dessen fand, was behoben werden musste. Aktualisieren Sie jetzt, und behandeln Sie das nächste Release, wann immer es kommt, so, als träfe es früher ein, als Ihr Kalender erwartet.

Weiterlesen: Gunra-Ransomware Nutzt Fortinet-Lücken von 2025  |  Deutschland Beendet Apples Schiefen Werbe-Prompt