macOS 27.2.1: Apple schließt acht Lücken, auch Bluetooth
Von Jörg SchockGründer · testet Smart Home seit den ersten Funksteckdosen im eigenen Haus · davor 35 Jahre in verschiedenen Funktionen der Polizei
Kurz gesagt: Apple hat am 9. November 2026 macOS Golden Gate 27.2.1 (Build 26B131) veröffentlicht. Laut Sicherheitshinweis behebt es acht Schwachstellen in AirPlay, Bluetooth, brotli, CoreUtils, Messages und rapportd. Von aktiver Ausnutzung ist dort keine Rede. Installieren solltest du es trotzdem zeitnah.
Symbolbild: KI-generiert
Apple hat am 9. November 2026 macOS Golden Gate 27.2.1 (Build 26B131) bereitgestellt. Die Entwickler-Seite von Apple listet das Update nur knapp mit Versionsnummer, Build und Download-Link. Den eigentlichen Inhalt verrät der Sicherheitshinweis von Apple: Es geht um acht Schwachstellen.
Was Apple behebt
Betroffen sind AirPlay, Bluetooth, die Kompressionsbibliothek brotli, CoreUtils, Messages und der Hintergrunddienst rapportd. Mehrere Einträge drehen sich um Kopplungscodes: Wer in Bluetooth-Reichweite oder im selben Netzwerk war, konnte Begrenzungen für Kopplungsversuche umgehen. Ein CoreUtils-Fehler hätte eine Kopplung ohne Zutun des Nutzers erlauben können. Dazu kommen ein Speicherfehler im Bluetooth-Code, ein Schreibfehler außerhalb des Speicherbereichs in brotli bei manipulierten Daten und zwei Zugriffsfehler bei iMessage-Gruppenchats.
Hinweise auf eine aktive Ausnutzung nennt Apples Hinweis nicht. Zusammen mit dem Apple-Sicherheitsarchiv, das iOS und iPadOS 27.2.1 mit demselben Datum führt, wirkt das Paket wie ein Wartungsupdate nach dem großen Update 27.2 vom 26. Oktober.
Was das für dich heißt
Das Update ist kostenlos. Auf dem Mac öffnest du Systemeinstellungen, dann Allgemein, dann Softwareupdate und installierst 27.2.1. Besonders sinnvoll ist das, wenn dein Mac oft in öffentlichen WLANs hängt, Bluetooth-Zubehör nutzt oder per AirPlay streamt, denn genau dort liegen die meisten Lücken. Wer iMessage-Gruppenchats nutzt, profitiert ebenfalls. Ob eine der Lücken in der Praxis ausgenutzt wurde, ist nach unserer Recherche nicht bekannt. Was in einer Quelle fehlt, bedeutet aber nicht, dass es das nicht gibt: Die Entwickler-Seite war hier ohne Änderungsliste, nur der Sicherheitshinweis liefert Details. Andere Berichte, etwa zu Zertifikatsfragen bei curl, haben wir für dieses Update nicht bestätigt gefunden.