macOS Tahoe 26.6.2: 28 CVEs – und wer sie tatsächlich gefunden hat

Am 17. August 2026 veröffentlichte Apple macOS Tahoe 26.6.2, Build 25G83. Am selben Tag erschien der Release Candidate von macOS Tahoe 26.7. Einen Tag später folgte Safari 26.6.1 für Sonoma und Sequoia. Drei Sicherheitsveröffentlichungen in achtundvierzig Stunden, auf zwei unterschiedlichen Zweigen, und keine einzige davon mit neuen Funktionen.

Wer die Berichterstattung dieser Woche verfolgte, sah wild auseinanderlaufende Zahlen: 20 Schwachstellen, 22, 28, 13. Keines dieser Medien lag falsch. Sie zählten schlicht unterschiedliche Dinge, und der Unterschied verrät etwas Nützliches darüber, wie Apple Sicherheitsinformationen veröffentlicht.

Außerdem enthält dieses Release etwas, das es in diesem Umfang in einem macOS-Sicherheitsdokument bisher nicht gab: neun der 28 CVE-Kennungen werden „OpenAI Codex Security" zugeschrieben – einem einzelnen, namentlich genannten Forschungsprojekt, das ein KI-Coding-Modell einsetzt, um Memory-Safety-Bugs in WebKit zu finden. Das ist rund ein Drittel des gesamten Releases und beinahe die Hälfte aller WebKit-Fixes, die Apple ausgeliefert hat.

Wichtigste Erkenntnisse

• macOS Tahoe 26.6.2 (Build 25G83, 17. August 2026) schließt 28 einzelne CVE-Kennungen in 20 Einträgen. Der Download ist auf Apple Silicon rund 2,9 GB groß. Ein passendes Systemupdate für Sequoia oder Sonoma gibt es nicht.
• Apple schreibt in den eigenen Release Notes, dieses Update „liefere Sicherheitskorrekturen, die zuerst in der macOS-Golden-Gate-27-Beta verfügbar gemacht wurden". Es handelt sich also um einen Backport, kein gewöhnliches Punkt-Release – deshalb existiert es parallel zu einem 26.7-Release-Candidate.
• Neun CVEs werden „OpenAI Codex Security — Amy Burnett" zugeschrieben. Alle neun sind WebKit-Memory-Safety-Probleme. Ein zehnter Credit geht an die „TrendAI Zero Day Initiative".
• Safari 26.6.1 für Sonoma und Sequoia enthält exakt die WebKit-Teilmenge dieses Updates — 21 CVEs, die allesamt auch in 26.6.2 auftauchen, und keine, die es nicht tun. Wir haben jede einzelne Kennung geprüft.
• Sieben CVEs in 26.6.2 haben sonst nirgendwo eine Entsprechung: drei Kernel, zwei ImageIO, eine Audio, eine IOGPUFamily. Apple hat dafür keinen Fix für Sonoma oder Sequoia veröffentlicht und nicht mitgeteilt, ob diese Systeme betroffen sind.
• 26.7 ist weiterhin nur ein Release Candidate. Zum Zeitpunkt dieses Artikels ist 26.6.2 die aktuelle macOS-Version. Wer in einem Beta-Kanal angemeldet ist, sieht möglicherweise ein anderes Update als alle anderen.

Was Apple tatsächlich ausgeliefert hat

Beginnen wir mit den unstrittigen Fakten, denn sie stammen direkt von Apple.

Von Apples Developer-Releases-Seite: macOS 26.6.2 (25G83), datiert auf den 17. August 2026. Im Index der Apple-Sicherheitsveröffentlichungen ist macOS Tahoe 26.6.2 als verfügbar für macOS Tahoe gelistet, veröffentlicht am 17. August 2026 — und zum Zeitpunkt dieses Artikels lautet Apples eigener Hinweis auf dieser Seite: „Die aktuelle Version von macOS ist 26.6.2."

Das Sicherheitsdokument selbst beginnt mit einem Satz, den man zweimal lesen sollte:

„Dieses Update liefert Sicherheitskorrekturen, die zuerst in der macOS-Golden-Gate-27-Beta verfügbar gemacht wurden."

Das ist keine gewöhnliche Formulierung. Ein normales Tahoe-Punkt-Release behebt Fehler, die in Tahoe gefunden wurden. Dieses hier nimmt Korrekturen, die Apple bereits in der macOS-27-Beta vorgenommen hatte, und bringt sie zurück ins ausgelieferte Betriebssystem. Das erklärt das Timing perfekt: Apples Entwicklungsaufmerksamkeit liegt inzwischen bei macOS 27, die Fixes waren bereits geschrieben, und anstatt sie bis 26.7 oder bis zum Erscheinen von macOS 27 im Herbst zurückzuhalten, hat Apple ein Backport-Release herausgebracht.

Howard Oakley von The Eclectic Light Company, der jedes Release im Detail seziert, berichtete am 17. August, dass der Download auf Apple Silicon rund 2,9 GB groß ist, dass die Firmware auf Apple Silicon auf mBoot 18000.161.10 und auf Intel auf 2103.160.2.0.0 wechselt, dass das mitgelieferte Safari auf 26.6.2 (21624.5.1.11.3) steigt, und dass die einzige weitere mitgelieferte App mit neuer Versionsnummer Passwords ist, das von 2.6 auf 2.6.2 wechselt. Er stellte außerdem nur sehr wenige Änderungen in /System/Library fest, darunter die Kernel-Extensions AppleH13CameraInterface und AppleH16CameraInterface, die Kernel-Extension AppleMatch sowie eine Handvoll privater Frameworks einschließlich CryptexKit, CryptexServer und SafariSafeBrowsing.

Dieses letzte Detail ist wichtiger, als es aussieht. Ein Release, das in /System/Library fast nichts anfasst, aber Safari und den WebKit-Stack anhebt, ist strukturell betrachtet ein Browser-Engine-Sicherheitsrelease im Gewand eines Betriebssystem-Updates.

Warum jeder eine andere Zahl berichtete

Hier ist die Diskrepanz, die für Verwirrung in der Berichterstattung sorgte – und die Auflösung ist simpel, sobald man sie sieht.

Apples Sicherheitsdokumente sind nach Einträgen organisiert, nicht nach CVEs. Jeder Eintrag hat einen Komponentennamen, eine Zeile „Available for", eine Zeile „Impact", eine Zeile „Description" und dann eine oder mehrere CVE-Kennungen mit Credits. Die meisten Einträge tragen genau eine CVE. Manche tragen zwei oder drei, weil Apple mehrere Bugs mit derselben Auswirkung und derselben Fix-Beschreibung zu einem einzigen Eintrag zusammengefasst hat.

Zählt man die Seite zu macOS Tahoe 26.6.2 so, wie sie am 22. August 2026 dasteht:

Maßeinheit	Anzahl
Einträge (Komponentenblöcke)	20
Eindeutige CVE-Kennungen	28

Beide Zahlen sind korrekt. Oakley berichtete 20, weil er Einträge zählte. Medien, die 28 berichteten, zählten CVE-Kennungen. Keiner von beiden schönt damit eine Schlagzeile.

Beim Safari-Dokument passiert dasselbe. Safari 26.6.1 hat 13 Einträge und 21 eindeutige CVE-Kennungen. Oakley berichtete 13. Mindestens ein Medium berichtete 22, also einen mehr, als wir zählen; Apple überarbeitet diese Seiten gelegentlich nach der Veröffentlichung, und Oakleys eigener Beitrag trägt den Vermerk „Updated 06:50 GMT 18 August 2026" — eine Seite, die zwischen Veröffentlichung und Lektüre um einen Eintrag gewachsen ist, würde das erklären. Wir berichten unsere eigene, am 22. August erhobene Zählung und nennen Ihnen die Methode, damit Sie sie nachvollziehen können.

Die praktische Lehre daraus: Wenn ein Sicherheitsartikel Ihnen eine einzelne Zahl ohne Methode nennt, können Sie nicht erkennen, ob damit Einträge oder CVEs gemeint sind — und die beiden unterscheiden sich in diesem Release um 40 %. Fragen Sie nach, welches von beidem gemeint ist.

Die Aufschlüsselung nach Komponente

Von den 20 Einträgen in macOS Tahoe 26.6.2:

Komponente	Einträge
WebKit	11
Kernel	3
ImageIO	2
Audio	1
IOGPUFamily	1
WebKit History	1
WebKit Storage	1

13 der 20 Einträge gehören zur WebKit-Familie. Das ist die Handschrift eines Browser-Engine-Releases. Die übrigen sieben lohnen eine genaue Lektüre, und wir kommen weiter unten auf sie zurück.

Die KI-Credit-Zeile

Das ist der wirklich neue Teil dieses Releases, und er liegt offen sichtbar in Apples Credit-Zeilen.

Neun CVE-Kennungen in macOS Tahoe 26.6.2 tragen den Credit „OpenAI Codex Security - Amy Burnett":

• CVE-2026-64780
• CVE-2026-64784 (gemeinsamer Credit mit Janggoon Lee von Out of Bounds)
• CVE-2026-65331
• CVE-2026-65332
• CVE-2026-65333
• CVE-2026-65334
• CVE-2026-65335
• CVE-2026-65337
• CVE-2026-65338

Jede einzelne davon liegt in WebKit. Ihre Impact-Zeilen bilden das klassische Browser-Engine-Set: „Die Verarbeitung böswillig präparierter Webinhalte kann zu einem unerwarteten Absturz von Safari führen", „…kann zu Speicherbeschädigung führen", „…kann zu einem unerwarteten Prozessabsturz führen". Ihre Beschreibungen sind die klassischen Fixes: verbesserte Speicherverwaltung, verbesserte Bounds-Prüfung, verbessertes State-Management, verbesserte Synchronisierung (Locking).

Ein zehnter, KI-naher Credit findet sich im selben Dokument: CVE-2026-64715 wird „Hossein Lotfi (@hosselot) of TrendAI Zero Day Initiative" zugeschrieben — dem langjährigen ZDI-Programm unter seinem aktuellen Markennamen.

Was das bedeutet — und was nicht

Es ist leicht, hier zu viel hineinzulesen, also seien wir präzise darüber, was die Credit-Zeile tatsächlich hergibt.

Was sie hergibt: Ein namentlich genanntes Sicherheitsprojekt, das explizit um ein KI-Coding-Modell herum aufgebaut ist, hat in einem einzigen WebKit-Release-Zyklus neun akzeptierte, gepatchte und mit einer CVE versehene Funde produziert. Das sind rund 32 % der CVEs in diesem macOS-Update und etwa 43 % der CVEs aus der WebKit-Familie. Das sind reale, nachgezählte Zahlen von Apples eigener Seite.

Was sie nicht hergibt: irgendeine Aussage darüber, wie diese Bugs gefunden wurden. Apples Credit-Zeile ist ein Name, keine Methodenangabe. Sie sagt nicht, dass das Modell sie autonom gefunden hat, sie sagt nicht, dass kein Mensch die Fälle triagiert oder die Testfälle minimiert hat, und sie sagt nicht, welcher Anteil der Einreichungen abgelehnt wurde. Jede dieser Fragen bleibt im öffentlichen Datensatz unbeantwortet, und wer Ihnen etwas anderes erzählt, spekuliert.

Es bedeutet auch nicht, dass WebKit neuerdings unsicher ist. Das Fuzzing von Browser-Engines auf Memory-Safety-Bugs ist seit über einem Jahrzehnt eine produktive Tätigkeit, und der Grund, warum diese Funde wie ein Cluster wirken, ist, dass Browser-Engines die größte Angriffsfläche im Betriebssystem darstellen und sich am leichtesten in großem Maßstab fuzzen lassen. Was sich geändert hat, ist, wer das Fuzzing betreibt und wie günstig.

Die Berichterstattung von 9to5Mac zum 26.7-Release-Candidate machte aus einem anderen Blickwinkel dieselbe Beobachtung und stellte fest, Apple habe „seinen macOS-Release-Zyklus beschleunigt, um Schwachstellen zu adressieren, die mithilfe von KI-Tools aufgedeckt wurden". Unsere Zählung ist die konkrete Version dieser Behauptung.

Wer den größeren Zusammenhang sucht, wie Apple diese Fixes zwischen vollständigen Updates ausliefert: Unser Leitfaden zu den Background Security Improvements in macOS Tahoe erklärt den Auslieferungsmechanismus, der dem allen zugrunde liegt.

Die sieben Fixes, die nur Tahoe bekam

Entfernt man alle Einträge der WebKit-Familie, bleiben sieben CVEs übrig. Sie betreffen das Betriebssystem und nicht den Browser, und sie sind der Grund, warum dies ein Systemupdate und kein reines Safari-Update ist.

Kernel

CVE-2026-65343 — Impact: „Ein Angreifer aus der Ferne könnte in der Lage sein, einen unerwarteten Systemabbruch auszulösen." Description: „Ein Use-after-free-Problem wurde durch verbesserte Speicherverwaltung behoben." Credit: Drinor Selmanaj (Sentry) und Surya Narayan Kushwaha.

Lesen Sie diese Impact-Zeile genau. Angreifer aus der Ferne. Unerwarteter Systemabbruch. Das ist ein remote auslösbarer Kernel-Crash — ein Denial-of-Service gegen einen Mac aus dem Netzwerk heraus. Apple sagt nicht, ob der Angreifer sich im selben Netzwerk befinden muss, ob dafür ein bestimmter Dienst aktiviert sein muss, oder ob sich das Use-after-free über einen reinen Absturz hinaus ausnutzen lässt. Wie immer bei einem Use-after-free ist „unerwarteter Systemabbruch" die Auswirkung, die Apple bereit ist auszusprechen — nicht notwendigerweise die Obergrenze.

CVE-2026-65349 — Impact: „Eine App könnte in der Lage sein, einen unerwarteten Systemabbruch auszulösen oder Kernel-Speicher zu lesen." Description: „Ein Out-of-Bounds-Lesezugriff wurde durch verbesserte Eingabevalidierung behoben." Credit: ein anonymer Forscher.

CVE-2026-65330 — Impact: „Eine App könnte in der Lage sein, einen unerwarteten Systemabbruch auszulösen oder Kernel-Speicher zu beschädigen." Description: „Das Problem wurde durch verbesserte Speicherverwaltung behoben." Credit: Bhaswanth Chigurupati, Billy Jheng Bing Jhong und Pan Zhenpeng (@Peterpan0927) von STAR Labs SG Pte. Ltd.

Der letztgenannte ist der am schwerwiegendsten klingende Eintrag in diesem Release. „Kernel-Speicher beschädigen" aus einer App heraus ist genau das Primitiv, aus dem Sandbox-Escapes und Privilege-Escalations gebaut werden. Trotzdem muss ein Angreifer zunächst Code auf Ihrem Mac zur Ausführung bringen — und genau deshalb sind die Malware-Zustellungstechniken relevant, die wir in warum Ihr Mac ein Terminal-Einfügen blockiert hat behandelt haben: Die erste Stufe ist der schwierige Teil, und der Kernel-Bug ist das, was aus einem Fuß in der Tür Kontrolle macht.

ImageIO

CVE-2026-65346 — Impact: „Die Verarbeitung eines Bildes kann zur Ausführung beliebigen Codes führen." Description: „Ein Integer-Overflow wurde durch verbesserte Eingabevalidierung behoben." Credit: Meta Red Team X — Nik Tsytsarkin.

CVE-2026-65347 — Impact: „Die Verarbeitung eines Bildes kann zu einem Denial-of-Service führen." Description: „Das Problem wurde durch verbesserte Prüfungen behoben." Credit: Geonha Lee (@leegn4a).

ImageIO ist das Framework, das überall in macOS Bilddateien dekodiert — Finder-Vorschauen, Quick Look, Messages-Anhänge, Mail, Safari, Notizen. „Die Verarbeitung eines Bildes kann zur Ausführung beliebigen Codes führen" ist die typische Form eines Zero-Click-Bugs, denn auf einem Mac „verarbeitet" man ein Bild häufig schon dadurch, dass man es empfängt und ein Thumbnail rendern lässt. Es gibt keine Hinweise darauf, dass dieser Bug ausgenutzt wurde, und Apple nennt keine Ausnutzung. Aber von allem in diesem Release ist ein ImageIO-Code-Execution-Bug der Eintrag, der am ehesten rechtfertigt, mit der Installation nicht vierzehn Tage zu warten.

Audio

CVE-2026-65339 — Impact: „Eine App könnte in der Lage sein, sensible Nutzerinformationen preiszugeben." Description: „Ein Logikfehler wurde durch verbesserte Prüfungen behoben." Credit: Meta Red Team X — Nik Tsytsarkin.

IOGPUFamily

CVE-2026-64788 — Impact: „Die Verarbeitung böswillig präparierter Webinhalte kann zu Speicherbeschädigung führen." Description: „Das Problem wurde durch verbesserte Speicherverwaltung behoben." Credit: f00l (@PPPF00L), 3ndy1 (@_3ndy1), Minghao Lin@Y1nkoc und 云散花折, sowie Arjanit Isufi.

Dieser Eintrag ist ein Hybrid und der Grund, warum ein reiner Browser-Patch nicht ausreicht. Der Auslöser ist Webinhalt, aber der verwundbare Code liegt im GPU-Kernel-Treiber, erreichbar über WebGL- und Metal-gestützte Rendering-Pfade. Ein alleiniges Safari-Update behebt einen Bug in IOGPUFamily nicht. Genau diese Art von Problem bringt Nutzer von Sonoma und Sequoia in eine unangenehme Lage — womit wir beim nächsten Abschnitt wären.

Safari 26.6.1: Genau die WebKit-Hälfte

Am 18. August 2026 veröffentlichte Apple Safari 26.6.1 für macOS Sonoma und macOS Sequoia. Ein begleitendes Systemupdate gab es für keines der beiden Betriebssysteme.

Wir haben die CVE-Kennungen in den beiden Dokumenten direkt verglichen. Das Ergebnis ist ungewöhnlich sauber:

Beziehung	Anzahl
CVEs sowohl in macOS 26.6.2 als auch in Safari 26.6.1	21
CVEs nur in Safari 26.6.1	0
CVEs nur in macOS Tahoe 26.6.2	7

Safari 26.6.1 ist eine strikte Teilmenge. Jeder WebKit-, WebKit-History- und WebKit-Storage-Fix, den Tahoe bekam, bekamen Sonoma und Sequoia über den Browser ebenfalls. Die sieben, die nicht mit übertragen wurden, sind genau die sieben oben aufgeführten Nicht-WebKit-Einträge: drei Kernel, zwei ImageIO, eine Audio, eine IOGPUFamily.

Was das für Sie bedeutet, wenn Sie Sonoma oder Sequoia nutzen: Installieren Sie Safari 26.6.1, und Ihre Browser-Engine-Exposition liegt auf demselben Niveau wie bei Tahoe. Was Ihnen fehlt, ist ein veröffentlichter Fix für die Kernel-, ImageIO-, Audio- und IOGPUFamily-Probleme.

Was wir bewusst nicht behaupten: dass Sonoma und Sequoia deshalb für diese sieben verwundbar sind. Apples Zeile „Available for" nennt macOS Tahoe, und Apple veröffentlicht nicht, ob ältere Systeme dieselben Code-Pfade enthalten. Manchmal ist ein Eintrag Tahoe-exklusiv, weil der Bug erst in Tahoe eingeführt wurde. Manchmal ist er Tahoe-exklusiv, weil der Patch für das ältere Betriebssystem einfach noch nicht erschienen ist. Apple sagt nicht, welcher Fall vorliegt, und die ehrliche Position lautet: Wir wissen es nicht.

Oakley liest das Timing als Signal: „Es deutet außerdem darauf hin, dass die nächsten Sicherheitsupdates für Sonoma und Sequoia nicht unmittelbar bevorstehen." Das ist eine vernünftige Schlussfolgerung aus einem reinen Safari-Release, und sie ist es wert, abgewogen zu werden, wenn Sie bewusst noch auf einem älteren Betriebssystem sind. Sie passt auch zu den Release-Candidate-Belegen — Apple veröffentlichte am 17. August einen macOS Sequoia 15.8 RC (Build 24H16), ein Systemupdate für Sequoia ist also in der Pipeline, nur eben noch nicht ausgeliefert.

Für das vollständigere Bild, wie lange ein älterer Mac noch versorgt wird, siehe unsere Kompatibilitätsliste zum Ende der Intel-Mac-Ära.

Zwei Tahoe-Zweige gleichzeitig: 26.6.2 vs. 26.7

Das ist der Teil, der am meisten für Verwirrung sorgte, und es lohnt sich, ihn genau zu erklären, denn er wird sich wiederholen.

Am 17. August 2026 veröffentlichte Apple beides Folgende:

• macOS Tahoe 26.6.2 (25G83) — ein finales, öffentliches Sicherheitsrelease, für alle über Softwareupdate verfügbar.
• macOS Tahoe 26.7 (25G220) — ein Release Candidate, am selben Tag an Entwickler und den öffentlichen Beta-Kanal ausgegeben, zusammen mit einem macOS Sequoia 15.8 RC (24H16).

Apples Release Note zu 26.7 lautet: „Dieses Update bietet Sicherheitskorrekturen für Ihren Mac." Die Sequoia-15.8-Notiz lautet: „Dieses Update bietet wichtige Sicherheitskorrekturen und wird für alle Benutzer empfohlen." Keines von beiden verspricht neue Funktionen. MacRumors berichtete separat, dass der 26.7-RC Strings enthält, die auf unveröffentlichte Hardware verweisen — Smart-Home-Zubehör unter den Codenamen J490 und J491 sowie AirPods mit Kameras —, was für einen Build, der kurz vor einem Hardware-Launch geschnitten wurde, normal ist und nichts über das Update selbst aussagt.

Auf welchem sollten Sie sein? Wenn Sie in keinem Beta-Programm angemeldet sind, stellt sich die Frage gar nicht: Softwareupdate bietet Ihnen 26.6.2 an, und das ist das aktuelle Release. Sind Sie im Entwickler- oder öffentlichen Beta-Kanal angemeldet, wird Ihrem Mac stattdessen der 26.7-RC angeboten, und man nimmt leicht an, man habe 26.6.2 verpasst. Das haben Sie nicht, in dem Sinne, dass der RC ein späterer Build auf demselben Zweig ist. Aber Sie betreiben Vorabsoftware auf einem Gerät, an dem Ihnen möglicherweise etwas liegt — ein anderer Kompromiss, als Sie eingegangen sind, als die Beta noch für macOS 27 war.

Wenn Sie sich angemeldet haben, um macOS 27 auszuprobieren, und sich nun auf einem Tahoe-RC wiederfinden: Unsere Leitfäden zur sicheren Installation der macOS-27-Public-Beta und zum Downgrade von der macOS-27-Beta ohne Datenverlust erklären, wie Sie den Kanal sauber wieder verlassen.

Achten Sie auf die Build-Nummern, denn sie sind kontraintuitiv: 26.6.2 trägt 25G83, 26.7 trägt 25G220. Beide beginnen mit 25G, beide sind also Builds der Tahoe-Generation aus derselben Basis, aber das numerische Suffix folgt bei unterschiedlich versionierten Releases keiner einfachen Reihenfolge. Versuchen Sie nicht, allein aus dem Build-String zu schließen, welches Update „neuer" ist.

So installieren Sie es, und was Sie vorher prüfen sollten

Für die meisten Menschen ist das eine Zwei-Minuten-Angelegenheit ohne Drama. Die folgenden Schritte sind dieselben, die wir für jedes Punkt-Release empfehlen, hier in kompakter Form.

Vor dem Update

1. Prüfen Sie Ihren freien Speicherplatz. Der Download ist auf Apple Silicon rund 2,9 GB groß, und der Installer benötigt darüber hinaus Arbeitsraum. Wenn Softwareupdate sich weigert oder hängen bleibt, ist Speicherplatz das Erste, was Sie prüfen sollten — siehe unseren Leitfaden zu Update-Fehlern durch zu wenig Speicherplatz.
2. Stellen Sie sicher, dass kürzlich ein Backup abgeschlossen wurde. Nicht weil dieses Update riskant ist, sondern weil „kürzlich gesichert" vor jedem Schreibvorgang am Betriebssystem zutreffen sollte. Falls Ihre Time Machine im Stillen fehlschlägt, behandelt unser Time-Machine-Troubleshooting-Leitfaden die häufigsten Ursachen.
3. Notieren Sie Ihren aktuellen Build. Apple-Menü → Über diesen Mac, dann auf die Versionsnummer klicken, um den Build anzuzeigen. Schreiben Sie ihn auf. Falls etwas schiefgeht, möchten Sie wissen, wovon Sie kamen.

Installation

Systemeinstellungen → Allgemein → Softwareupdate. macOS Tahoe 26.6.2 sollte als „macOS Tahoe 26.6.2" erscheinen. Klicken Sie auf Jetzt aktualisieren.

Falls es nicht erscheint:

• Geben Sie ihm Zeit. Apple staffelt die Verfügbarkeit von Updates. Ein Release, das am 17. August erschien, wird nicht jedem Mac schon am 17. August angeboten.
• Neu starten und erneut prüfen. Das löst einen überraschend großen Anteil der „wird nicht angezeigt"-Meldungen, auch die in Apples eigenen Diskussionsforen zu genau diesem Release.
• Prüfen Sie, ob Sie in einem Beta-Kanal angemeldet sind. Systemeinstellungen → Allgemein → Softwareupdate → das ⓘ neben Beta-Updates. Sind Sie in einem Beta-Kanal, wird Ihnen ein anderer Build angeboten.
• Prüfen Sie, ob Ihr Mac verwaltet wird. Auf einem Arbeits-Mac kann eine MDM-Konfiguration Updates per Richtlinie aufschieben. Unser Enterprise-Deployment-Leitfaden erklärt, wie solche Aufschubfenster funktionieren.

Im Terminal sehen Sie, was Ihrem Mac tatsächlich angeboten wird:

softwareupdate --list

Und, wenn Sie das Update ohne grafische Oberfläche möchten:

sudo softwareupdate --install --all --restart

Wenn beim Update etwas schiefgeht

Bei einem Punkt-Release passiert das sehr selten, aber der moderne Update-Prozess scheitert auf eine Weise, die alarmierend aussieht, es meist aber nicht ist — für den größten Teil des Updates ist Ihr Data-Volume ausgehängt, sodass ein Mac wie tot auf einem Fortschrittsbalken verharren kann, während in Wirklichkeit nichts kaputt ist. Wir haben die vollständige Wiederherstellungsabfolge in was zu tun ist, wenn ein macOS-Update schiefgeht beschrieben, inklusive des Unterschieds zwischen Revive und Restore und warum Sie immer zuerst Revive versuchen sollten.

Gemeldete Probleme nach 26.6.2

Wir trennen hier sorgfältig, denn ein Sicherheitsupdate zieht jede sachfremde Beschwerde im Internet auf sich.

Was Apple dokumentiert hat: nichts. Es gibt kein Apple-Support-Dokument, das ein bekanntes Problem in 26.6.2 beschreibt, und die Release Notes beschreiben ausschließlich Sicherheitskorrekturen.

Was von Nutzern berichtet wurde, unbestätigt: Am häufigsten wiederholt sich, dass manche Besitzer eines Studio Display XDR nach dem Update ihre 120-Hz-Bildwiederholrate nicht mehr zur Verfügung hatten, mit einer Handvoll Berichten, dass Ab- und wieder Anstecken des Kabels sie zurückbrachte. Ein ähnlicher Bericht kursierte bereits nach 26.6 im Juli. Wir haben es damals als unbestätigt gekennzeichnet und tun es jetzt wieder: Es gibt keine Bestätigung von Apple, keine konsistente Reproduktion, und keine Berichte, die es von Kabel-, Dock- oder Firmware-Variablen isolieren. Wenn Sie dieses Display besitzen und auf 120 Hz angewiesen sind, ist das ein Grund, nach dem Update zu prüfen — kein Grund, einen Kernel- und ImageIO-Patch zu überspringen.

Was kein Beleg ist: ein Forumsthread, in dem jemand aktualisiert hat und danach einen langsamen Mac hatte. Punkt-Releases lösen eine Spotlight-Neuindizierung aus, und eine Neuindizierung sieht für ein paar Stunden exakt wie eine Performance-Regression aus. Wir haben dieses Muster für das 26.6-Release ausführlich in warum Ihr Mac nach einem macOS-Update heiß läuft behandelt, und alles darin gilt auch hier.

Sollten Sie es installieren?

Kurze Version: ja, und mit angemessener Zügigkeit.

Die längere Version, nach Situation:

Sie sind …	Empfehlung
auf macOS Tahoe, privater Mac	Installieren. Allein der ImageIO-Code-Execution-Eintrag rechtfertigt es.
auf macOS Tahoe, Produktions-Mac, den Sie keine Stunde entbehren können	Innerhalb der Woche installieren, nach einem verifizierten Backup. Nichts hier bringt neue Funktionen mit, es gibt also nichts Neues, das kaputtgehen könnte.
auf macOS Sequoia oder Sonoma	Safari 26.6.1 installieren. Das ist, was Ihnen zur Verfügung steht, und es deckt 21 der 28 Kennungen ab.
in der macOS-27-Beta angemeldet	Sie sind auf dem 26.7-RC-Zweig. Entscheiden Sie, ob Sie das wollen; siehe den Downgrade-Leitfaden oben.
verantwortlich für eine Flotte	Beachten Sie, dass dies ein Backport aus der macOS-27-Beta ist, der Code also bereits Beta-Exposition hatte. Standard-Ring-Deployment.

Das einzige Argument fürs Warten ist das allgemeine, das immer gilt: Wenn ein Punkt-Release für eine bestimmte Hardwarekonfiguration etwas kaputt macht, zeigt sich das meist innerhalb von etwa einer Woche. Wägen Sie das gegen einen ungepatchten Bilddekodierungs-Bug ab, der durch eine in Messages ankommende Datei ausgelöst werden kann.

Was Apple uns nicht gesagt hat

Jedes Sicherheitsrelease hat Lücken, und sie zu benennen ist nützlicher, als so zu tun, als gäbe es sie nicht.

• Apple hat nicht gesagt, ob eine dieser Lücken aktiv ausgenutzt wurde. Kein Eintrag trägt die Formulierung „Apple is aware of a report that this issue may have been actively exploited". Das ist ein echtes und bedeutsames Fehlen, kein Versehen.
• Apple hat nicht gesagt, warum sieben Fixes nur für Tahoe gelten. Wie oben erläutert, könnte das bedeuten, dass die Bugs auf älteren Systemen nicht existieren — oder dass die Patches für die älteren Systeme erst noch kommen. Apple unterscheidet die beiden Fälle nie.
• Apple hat die Codex-Security-Methodik nicht beschrieben. Der Credit ist ein Name. Alles andere darüber, wie diese neun Bugs gefunden wurden, ist unveröffentlicht.
• Apple hat die Download-Größe nicht veröffentlicht. Die Zahl von 2,9 GB stammt aus Oakleys Analyse, nicht von Apple.
• Apple hat das Zwei-Zweige-Release nicht erklärt. Der Satz „first made available in the macOS Golden Gate 27 beta" ist der einzige Hinweis, und wir deuten ihn als Backport. Diese Deutung passt zu jedem beobachtbaren Fakt, ist aber eine Deutung.

Fehlerbehebung bei häufigen Problemen

macOS 26.6.2 erscheint nicht in Softwareupdate

Die vier Ursachen, in der Reihenfolge, in der Sie sie prüfen sollten: gestaffelter Rollout (warten, dann neu starten), Anmeldung in einem Beta-Kanal (Sie sind stattdessen auf dem 26.7-RC-Zweig), MDM-Aufschub auf einem verwalteten Mac, und zu wenig freier Speicherplatz. Führen Sie softwareupdate --list aus, um zu sehen, was Ihr Mac für verfügbar hält — das ist aussagekräftiger als die grafische Oberfläche, weil es Bezeichnung und Version jedes angebotenen Updates zeigt.

Das Update wurde heruntergeladen, lässt sich aber nicht installieren

Starten Sie zuerst neu. Schlägt es erneut fehl, prüfen Sie den freien Speicherplatz mit df -h /System/Volumes/Data — der Installer benötigt spürbar mehr als die Download-Größe. Schlägt es weiterhin fehl, greift der Wiederherstellungspfad aus unserem Playbook für schiefgegangene Updates.

Mein Mac ist nach dem Update langsam und heiß

Fast immer Spotlight-Neuindizierung. Öffnen Sie die Aktivitätsanzeige, sortieren Sie nach CPU, und halten Sie Ausschau nach mds_stores und mdworker. Prüfen Sie mit mdutil -s -a den Indizierungsstatus. Geben Sie dem Vorgang Stunden, nicht Minuten, und lassen Sie den Mac am Netzteil. Erzwingen Sie keinen Neuaufbau — das setzt die Uhr zurück auf null.

Safari 26.6.1 erscheint nicht auf meinem Sonoma- oder Sequoia-Mac

Safari-Updates kommen wie jedes andere über Softwareupdate, werden aber manchmal getrennt von Systemupdates gelistet. Prüfen Sie mit softwareupdate --list gezielt nach einem Safari-Eintrag. Sind auf Ihrem Mac automatische Sicherheitsupdates deaktiviert, ist das erneute Aktivieren unter Systemeinstellungen → Allgemein → Softwareupdate → ⓘ die schnellste Lösung.

Mein Studio Display XDR hat nach dem Update 120 Hz verloren

Unbestätigt und von Apple nicht anerkannt, aber der berichtete Workaround besteht darin, das Display-Kabel ab- und wieder anzustecken und dann Systemeinstellungen → Displays zu prüfen. Hilft das nicht, prüfen Sie, ob für das Display selbst eine ausstehende Firmware-Aktualisierung vorliegt, und melden Sie es Apple — ein nicht anerkanntes Problem bleibt nicht anerkannt, bis genug Leute es melden.

FAQ

Wie viele Schwachstellen behebt macOS Tahoe 26.6.2?

28 eindeutige CVE-Kennungen, organisiert in 20 Einträgen auf Apples Sicherheitsseite. Beide Zahlen sind legitim; der Unterschied besteht darin, dass manche Einträge mehrere CVEs unter einer Impact- und einer Fix-Beschreibung zusammenfassen. Andernorts veröffentlichte Zählungen können abweichen, weil Apple diese Seiten gelegentlich nach der Veröffentlichung überarbeitet.

Warum hat Apple 26.6.2 und einen 26.7-Release-Candidate am selben Tag veröffentlicht?

Weil 26.6.2 ein Backport ist. Apples eigene Release Notes besagen, die Fixes seien „zuerst in der macOS-Golden-Gate-27-Beta verfügbar gemacht" worden. Anstatt sie für 26.7 oder für die öffentliche Veröffentlichung von macOS 27 zurückzuhalten, lieferte Apple sie sofort an das aktuelle Betriebssystem aus, während 26.7 seinen RC-Zyklus fortsetzte.

Ist macOS Tahoe 26.7 jetzt verfügbar?

Nicht als finales Release. Zum Zeitpunkt dieses Artikels existiert 26.7 nur als Release Candidate (Build 25G220), ausgegeben am 17. August 2026 an Entwickler und öffentliche Beta-Tester. Apples Seite für Sicherheitsveröffentlichungen listet weiterhin 26.6.2 als aktuelle Version von macOS.

Was bedeutet „OpenAI Codex Security" in Apples Credits?

Es ist der genannte Name eines Sicherheitsforschungsprojekts, das neun der WebKit-Schwachstellen in diesem Release gefunden und gemeldet hat. Apples Credit-Zeilen nennen Melder, keine Methoden, der Credit sagt Ihnen also, wer das Problem gemeldet hat, aber nichts darüber, wie es gefunden wurde. Neun der 28 CVEs in macOS 26.6.2 tragen diesen Credit, alle in WebKit.

Ich bin auf macOS Sequoia. Bin ich geschützt?

Teilweise. Safari 26.6.1, veröffentlicht am 18. August 2026, enthält alle 21 CVEs der WebKit-Familie aus diesem Release. Es enthält nicht die sieben Kernel-, ImageIO-, Audio- und IOGPUFamily-Fixes, und Apple hat nicht veröffentlicht, ob Sequoia davon betroffen ist. Ein Sequoia-15.8-Release-Candidate existiert bereits, ein Systemupdate ist also unterwegs.

Muss ich aktualisieren, wenn ich Safari nur zum Browsen nutze?

Ja. Zu den sieben Nicht-WebKit-Fixes gehört ein ImageIO-Eintrag, dessen Impact lautet: „Die Verarbeitung eines Bildes kann zur Ausführung beliebigen Codes führen" — und Bildverarbeitung findet in Messages, Mail, Finder-Vorschauen und Quick Look statt, nicht nur in einem Browser. Ein rein browserbezogenes Denkmodell deckt dieses Release nicht ab.

Verändert dieses Update etwas Sichtbares?

Nein. Es gibt keine neuen Funktionen, keine Oberflächenänderungen und keine dokumentierten Verhaltensänderungen. Die einzigen für Nutzer sichtbaren Versionssprünge sind Safari auf 26.6.2 und die App Passwords auf 2.6.2.

Fazit

macOS Tahoe 26.6.2 ist ein routinemäßiges Sicherheitsrelease, an dem sich zwei Dinge zu merken lohnen.

Das Erste ist struktureller Natur: Apple hat Fixes aus der macOS-27-Beta ins ausgelieferte Betriebssystem zurückportiert und das schriftlich festgehalten. Je näher macOS 27 rückt, desto mehr davon ist zu erwarten — der Fix existiert bereits, die Beta hat ihn durchlaufen, und es gibt keinen Grund, Tahoe-Nutzer darauf warten zu lassen. Der Nebeneffekt sind Releases wie der vom 17. August, an dem ein finales Update und ein Release Candidate für die nächste Version am selben Tag landen und wirklich unklar ist, auf welchem man sein soll. Die Antwort lautet, sofern Sie nicht bewusst einer Beta beigetreten sind, immer: dem finalen.

Das Zweite ist die Credit-Zeile. Neun von 28 CVEs aus einem einzigen KI-gestützten Forschungsprojekt, allesamt in WebKit, ist kein Meilenstein, den Apple verkündet hat — es steckt einfach in den Danksagungen. Das bedeutet nicht, dass Ihr Mac unsicherer ist. Wenn überhaupt, bedeutet es das Gegenteil: Das sind Bugs, die gefunden und behoben wurden, bevor irgendjemand von ihrer Ausnutzung berichtete. Aber es bedeutet, dass sich die Ökonomie des Findens von Memory-Safety-Bugs in einer Browser-Engine verändert hat, und Apples Release-Kadenz hat sich sichtbar mit ihr verändert.

Installieren Sie das Update. Und wenn Sie noch auf Sonoma oder Sequoia sind, installieren Sie anschließend Safari 26.6.1 und beginnen Sie, über die sieben Fixes nachzudenken, die Ihnen fehlen.

Verwandte Artikel: macOS Tahoe 26.6.1 und die Screen-Sharing-Schwachstelle · macOS Tahoe 26.6: was neu ist und was behoben wurde · Background Security Improvements erklärt · Safari-Tab-Abstürze und WebKit-Feature-Flags

Quellen: Apple, „About the security content of macOS Tahoe 26.6.2" (support.apple.com/en-us/148281, abgerufen am 22. August 2026) · Apple, „About the security content of Safari 26.6.1" (support.apple.com/en-us/148286, abgerufen am 22. August 2026) · Apple, „Apple security releases" (support.apple.com/en-us/100100, abgerufen am 22. August 2026) · Apple Developer, „macOS 26.6.2 (25G83)", 17. August 2026 · The Eclectic Light Company, „Apple has released a security update to macOS Tahoe 26.6.2", 17. August 2026 · The Eclectic Light Company, „Apple has released an update to Safari 26.6.1 for Sequoia and Sonoma", 18. August 2026 · 9to5Mac, „Apple rolls out Release Candidates for macOS Tahoe 26.7 and macOS Sequoia 15.8", 17. August 2026 · MacRumors, „macOS Tahoe 26.7 is Full of References to Unreleased Apple Products", 17. August 2026.