macOS 26.7.2 und 15.8.2 stecken im Release Candidate fest

Drei Release Candidates in drei Wochen

Am 7. Oktober 2026 hat Apple die ersten Release Candidates für macOS Sequoia 15.8.2 und macOS Tahoe 26.7.2 an Entwickler ausgeliefert. Reguläre Betas gab es vorher keine. Am 19. Oktober folgte bereits die dritte RC-Runde für beide Versionen.

Die Release Notes nennen in beiden Fällen nur wichtige Sicherheitskorrekturen und die Empfehlung, das Update allen Nutzern bereitzustellen. Welche CVEs geschlossen werden, ist zum Zeitpunkt dieses Beitrags nicht publiziert. Ob die finalen Builds inzwischen ausgeliefert sind, lässt sich aus den vorliegenden Quellen nicht eindeutig beantworten. Prüfen Sie den Stand über die Übersicht der Apple Security Releases.

Parallel läuft der aktuelle Zweig weiter. macOS 27 Golden Gate erschien am 14. September, 27.0.1 am 28. September, der Release Candidate für 27.2 am 19. Oktober. Er bringt unter anderem Siri AI in fünf weiteren Sprachen, darunter Französisch. macOS 27 läuft ausschliesslich auf Apple Silicon.

Apple ergänzt Advisories nachträglich

Am 19. Oktober hat Apple zahlreiche Einträge in bereits veröffentlichte Sicherheitsdokumente eingefügt, erkennbar am Vermerk über das Nachtragsdatum. Betroffen sind unter anderem die Dokumente zu macOS Tahoe 26.7 und zu iOS 26.7 sowie iPadOS 26.7.

Dazu gehören etwa eine Rechteausweitung über eine AMD-Komponente, ein Buffer Overflow in APFS mit Systemabbruch, eine Race Condition, über die eine sandboxed App Code mit Kernel-Rechten ausführen kann, sowie ein Baseband-Problem, das einen Denial of Service aus privilegierter Netzwerkposition erlaubt.

Praktisch heisst das: Ein Advisory, das Sie im September gelesen und abgelegt haben, beschreibt heute einen anderen Umfang. Wer Patch-Compliance über archivierte Dokumente nachweist, dokumentiert seit dem 19. Oktober einen überholten Stand.

Der Auslöser aus dem September

macOS Sequoia 15.8.1 und Tahoe 26.7.1 erschienen am 28. September 2026. Inhalt war im Wesentlichen ein einziger Fix in CoreGraphics. Eine präparierte Datei konnte beliebigen Code ausführen, laut Apple möglicherweise in einem hochentwickelten Angriff ausgenutzt.

Die Lücke trägt die Kennung CVE-2026-86950 und wurde mit CVSS 8.8 eingestuft. Die US-Behörde CISA nahm sie am 29. September in den KEV-Katalog auf, mit Frist bis zum 2. Oktober für Bundesbehörden. Der Angriffsweg über eine Bilddatei trifft den Alltag einer Kreativagentur direkt, also Kundendaten, Transferordner und Druckdaten aus fremder Quelle.

Was das für Ihre Flotte heisst

Geräte, die aus nachvollziehbaren Gründen auf Tahoe 26 oder Sequoia 15 stehen, etwa wegen Intel-Hardware, Plug-in-Abhängigkeiten oder zertifizierter Prepress-Ketten, hängen seit Anfang Oktober auf dem Stand 26.7.1 beziehungsweise 15.8.1. Der nächste Sicherheitsstand ist angekündigt und noch nicht da. Betroffen sind die Arbeitsplätze, über die Redaktion, Shop-Pflege und Deployments laufen.

Ein überstürzter Wechsel auf macOS 27 ist keine Antwort. Intel-Macs können nicht, und zur Kompatibilität von 27.2 mit Adobe-, Affinity- oder RIP-Ketten gibt es derzeit keine belastbaren Angaben. Warten Sie die Freigaben der Hersteller ab. Den Release Candidate von 27.2 lassen Sie aus der Produktion heraus.

Konkret für die nächsten Tage:

• Flotte inventarisieren und zählen, wie viele Geräte auf 26.7.1, 15.8.1 und 27.0.1 stehen.

• Prüfen, dass CVE-2026-86950 überall geschlossen ist, also mindestens 26.7.1, 15.8.1 oder iOS 26.7.1.

• Die Sicherheitsdokumente zu macOS Tahoe 26.7 und iOS 26.7 frisch abrufen statt aus dem Archiv lesen.

• Deferral-Fenster im MDM so setzen, dass 26.7.2 und 15.8.2 zeitnah einspielbar sind.

• iOS 27.1 nicht als Update-Ziel aufnehmen, es ist dem faltbaren iPhone Duo vorbehalten.