LONDON (IT BOLTWISE) – Sicherheitsforscher haben mit usbliter8 eine schwerwiegende Hardware-Schwachstelle in iPhones und iPads aus 2018 und 2019 identifiziert. Sie sitzt im Boot-ROM der A12- und A13-Bionic-Chips und lässt sich nicht per Software-Update beheben. Gleichzeitig hat Apple im Sommer 2026 mehrere Notfall-Patches für aktuelle Geräte nachgeschoben, um andere, softwareseitige Lücken zu schließen. Für Unternehmen wird damit vor allem klar: Patchbarkeit endet, wo Hardware-Root-of-Trust beginnt.
Ein mobiles Sicherheitsproblem ist besonders heikel, wenn es nicht nur eine Software-Komponente betrifft, sondern direkt im Boot-ROM der Plattform steckt. Genau das behaupten Sicherheitsforscher mit dem Namen usbliter8: Die Schwachstelle liegt im unveränderlichen Boot-Code der A12- und A13-Bionic-Prozessoren, also jener Chips, die unter anderem in iPhones und iPads der Jahre 2018 und 2019 verbaut waren. Der entscheidende Punkt: Da Boot-ROM als Read-Only Memory physisch fest verdrahtet wird, kann Apple keine nachträgliche Korrektur per iOS-/iPadOS-Update nachreichen. Damit wird ein Risiko dauerhaft, solange betroffene Geräte im Feld bleiben.
Technisch betrachtet verschiebt sich das Bedrohungsmodell deutlich. Der Angriff erfordert nach der vorliegenden Beschreibung physischen Zugriff: Ein Angreifer muss das Gerät in der Hand haben und über USB ansprechen. Damit fällt der Angriff als reiner Fernangriff aus dem klassischen „nur per Netzwerk“-Raster heraus. Gleichzeitig erhöht genau diese Praxisnähe die Bedeutung organisatorischer Maßnahmen in Firmenumgebungen: Geräte, die Mitarbeitende unterwegs nutzen, können bei Übergabe- oder Verfahrenslücken im Beschaffungs-, Repair- oder Bring-Your-Own-Device-Prozess zum Ziel werden. Umso wichtiger ist die Gerätesegmentierung zwischen „kritischen Nutzern“ und „Alltagsgeräten“, etwa durch striktes Handling bei Service-Events.
Welche Modelle betroffen sind, zeigt die Reichweite der Hardware-Lücke: iPhone XS, iPhone XR und die gesamte iPhone-11-Serie, dazu iPhone SE der zweiten Generation. Bei den Tablets nennt der Bericht iPad der achten und neunten Generation, iPad Air der dritten Generation sowie iPad mini der fünften Generation. Auch bei Wearables ist die Liste relevant: Apple Watch Series 4, Series 5 und Apple Watch SE (erste Generation). Für Unternehmen bedeutet das vor allem Migrationsdruck: Wenn der Schutz auf betroffenen Chips nicht mehr dauerhaft herstellbar ist, müssen Lebenszykluspläne für Gerätetausch und Endpoint-Risiko-Bewertung neu justiert werden, nicht erst beim nächsten Hardware-Refresh.
Apple reagiert parallel auf die andere Seite des Spektrums: Softwarelücken, die sich schließen lassen. Berichten zufolge hat Apple den Update-Fahrplan bei aktuellen Modellen beschleunigt und im Juni 2026 iOS 26.5.2 veröffentlicht, deutlich früher als im üblichen monatlichen Rhythmus. Der Patch adressiert 25 Sicherheitslücken, größtenteils in WebKit und im Systemkernel. Auffällig ist dabei, dass ein Teil der Speicherfehler offenbar mit KI-gestützten Tools identifiziert wurde, konkret mit Anthropics Claude. Das ist ein Marktindikator: KI wird nicht nur für Entwicklung und Testing genutzt, sondern zunehmend für die Schwachstellensuche und Hypothesenbildung im Secure-Engineering-Prozess. Branchenexperten fassen das sinngemäß so zusammen: „Wo die Hardware nicht mehr patchbar ist, zählt Geschwindigkeit bei allem, was noch patchbar bleibt.“
Der Blick auf den Kontext zeigt zusätzlich, dass mobile Angriffe in Wellen kommen. Citizen Lab habe bestätigt, dass die Pegasus-Spyware eingesetzt wurde, um ein Gerät eines ehemaligen EU-Abgeordneten zu kompromittieren, und zwar über Zero-Click-Exploits namens PWNYOURHOME. Gleichzeitig wird ein weiteres Toolkit, Coruna, in Zusammenhang mit Krypto-Diebstahl gebracht; es soll über manipulierte Webseiten mehrere iOS-Lücken ausnutzen. Solche Berichte unterstreichen, dass „kein Patch möglich“ nicht isoliert betrachtet werden darf: Selbst wenn Secure Enclave sensible Daten wie Passwörter oder biometrische Informationen schützt, sind die verbleibenden Angriffspfade bis zur sicheren Boot-Kette und innerhalb der Kommunikations- und App-Interfaces relevant. Deshalb sollten Unternehmen nicht nur Update-Kommunikation betreiben, sondern auch Attack-Surface reduzieren (z. B. durch Profile, App-Policies und restriktive Netzwerkregeln).
Auch Kommunikationsprotokolle rücken in den Fokus. Forscher der CISPA-Fakultät für Informatik berichten von sechs Schwachstellen in Apples AirDrop und von Googles Quick Share, mit potenziellen Auswirkungen auf mehr als fünf Milliarden Geräte. Genannt werden Angriffsvarianten von Denial-of-Service bis hin zu potenzieller Codeausführung aus der Ferne. Das ordnet die Diskussion aus Unternehmenssicht in Richtung „Trust by Channel“ ein: Für Mobilgeräte ist nicht nur die lokale Ausführung entscheidend, sondern auch, wie Dateien und Metadaten über Protokolle ausgehandelt werden. Hier konkurriert die Branche häufig mit ähnlichen Sicherheitsarchitekturen; als Vergleichspunkt zeigt Quick Share, dass Ökosysteme auch bei unterschiedlichen Herstellern auf ähnliche Risikoflächen stoßen können.
Für die Zukunft wird aus der Kombination von usbliter8 und den laufenden Software-Patches eine klare Schlussfolgerung: Patch-Strategien allein reichen nicht mehr, sobald Root-of-Trust auf Hardwareebene gefährdet ist. Unternehmen sollten deshalb Hardware-Inventory und Risiko-Scores über Chip-Generationen hinweg automatisieren, statt nur nach iOS-Versionen zu filtern. Praktisch heißt das: Geräte aus 2018/2019 benötigen eine eigene Policy-Klasse, etwa „höheres Risiko, geringere Privilegien, strengere USB-/Service-Regeln“ – oder einen beschleunigten Austausch. Gleichzeitig sollten IT- und Security-Teams die Update-Frequenz und die Sicherheitsbetroffenheit in Echtzeit verfolgen, weil Apple bei Softwarefehlern sichtbar schneller liefert. In den nächsten Releases dürfte damit die Messlatte steigen: KI-gestützte Schwachstellenerkennung wird die Zeit bis zur Patch-Entdeckung weiter verkürzen, während die Hardwareseite den Schwerpunkt auf Lebenszyklus- und Abschaltentscheidungen verlagert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "usbliter8: Boot-ROM-Schwachstelle in iPhones 2018/2019 bleibt ohne Patch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "usbliter8: Boot-ROM-Schwachstelle in iPhones 2018/2019 bleibt ohne Patch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »usbliter8: Boot-ROM-Schwachstelle in iPhones 2018/2019 bleibt ohne Patch« bei Google Deutschland suchen, bei Bing oder Google News!