Kerngegevens
- Leverancier
- Apple
- Producten
- iOS en iPadOS onderdeel iOS and iPadOS alle iOS and iPadOS-lekken, macOS, visionOS
- Soort software
- besturingssysteem
- Getroffen versies
- iOS en iPadOS ouder dan 26.7.2, en 27.x ouder dan 27.2
- macOS Sequoia ouder dan 15.8.2
- macOS Tahoe ouder dan 26.7.2
- macOS Golden Gate ouder dan 27.2
- visionOS ouder dan 27.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- iOS en iPadOS 26.7.2 Apple-artikel 149227 (opent in een nieuw venster)
- iOS en iPadOS 27.2 Apple-artikel 149227 (opent in een nieuw venster)
- macOS Sequoia 15.8.2 Apple-artikel 149521 (opent in een nieuw venster)
- macOS Tahoe 26.7.2 Apple-artikel 149521 (opent in een nieuw venster)
- macOS Golden Gate 27.2 Apple-artikel 149521 (opent in een nieuw venster)
- visionOS 27.2 Apple-artikel 149227 (opent in een nieuw venster)
- CVE gepubliceerd
- 26 oktober 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Door een fout in de controle van invoer kan een aanvaller op afstand mogelijk ontsnappen uit de WebContent-sandbox van iOS en iPadOS ouder dan 27.2 en 26.7.2, macOS ouder dan Golden Gate 27.2, Tahoe 26.7.2 en Sequoia 15.8.2, en visionOS ouder dan 27.2; Apple loste dit op in die versies (updates van 26 oktober 2026). Webpagina's draaien op Apple-apparaten in die afgeschermde omgeving, zodat een fout in een webpagina niet meteen het hele toestel raakt.
Wie loopt risico?
Je loopt risico als je een iPhone, iPad, Mac of Apple Vision Pro gebruikt met een versie die ouder is dan de opgeloste versies hieronder. Volgens de score is geen inlog en geen handeling van jou nodig. In de praktijk wordt zo'n sandbox-ontsnapping meestal gecombineerd met een tweede lek, bijvoorbeeld in WebKit. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt en er is geen publieke exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| iOS en iPadOSInstalleren via Software-update | 26.7.2 | Apple-artikel 149227 (opent in een nieuw venster) | |
| iOS en iPadOSInstalleren via Software-update | 27.2 | Apple-artikel 149227 (opent in een nieuw venster) | |
| macOS SequoiaInstalleren via Software-update | 15.8.2 | Apple-artikel 149521 (opent in een nieuw venster) | |
| macOS TahoeInstalleren via Software-update | 26.7.2 | Apple-artikel 149521 (opent in een nieuw venster) | |
| macOS Golden GateInstalleren via Software-update | 27.2 | Apple-artikel 149521 (opent in een nieuw venster) | |
| visionOSInstalleren via Software-update | 27.2 | Apple-artikel 149227 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk je iPhone en iPad bij
Installeer iOS en iPadOS 26.7.2 of 27.2. Ga naar Instellingen, Algemeen, Software-update.
Werk je Mac bij
Installeer macOS Sequoia 15.8.2, macOS Tahoe 26.7.2 of macOS Golden Gate 27.2, afhankelijk van de versie die je gebruikt.
Werk visionOS bij
Installeer visionOS 27.2 als je een Apple Vision Pro gebruikt.
Controleer of automatische updates aanstaan
Zet automatische software-updates aan, zodat je toestellen volgende beveiligingsupdates sneller krijgen.
Dezelfde update lost meer lekken op
De Apple-updates van 26 oktober 2026 verhelpen nog veel meer lekken, waaronder CVE-2026-113897, een tweede sandbox-ontsnapping. Zie ons overzicht van de Apple-updates van oktober 2026.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit volgens Apple in het onderdeel App Store en komt door onvoldoende validatie van invoer. Een aanvaller op afstand kan daarmee mogelijk uit de WebContent-sandbox ontsnappen, de afgeschermde omgeving waarin webinhoud wordt verwerkt. Apple heeft de invoervalidatie verbeterd in de updates van 26 oktober 2026; het lek is gemeld door Cisco Talos. Apple geeft zelf geen CVSS-score. De score van 10,0 komt van NVD (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Die is aan de hoge kant: een sandbox-ontsnapping is in de praktijk meestal de tweede stap van een aanval, nadat een aanvaller eerst via een ander lek code in het webinhoud-proces heeft laten draaien. Er is geen CWE-classificatie opgegeven.
CVSS-vector (versie 3.1, basisscore 10,0, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies