1. Startseite
2. News

Blockierungsmodus geknackt: Exploit übersteht Update auf iOS 27.2

Dem Sicherheitsteam «Calif» ist es gelungen, den Blockierungsmodus des iPhone zu überwinden – jene Schutzfunktion, die Apple für besonders exponierte Personen wie Medienschaffende oder Politikerinnen und Politiker anbietet. Als Einfallstor diente ein präpariertes PDF, das per AirDrop auf ein iPhone 18 Pro gelangte. Der Angriff übersteht zudem ein anschliessendes Update auf iOS 27.2.

Stefan Rechsteiner
Donnerstag, 12. November 2026 um 09:52 Uhr

Wie unter anderem Heise berichtet, hat das internationale Sicherheitsteam «Calif», zu dem auch der deutsche Sicherheitsforscher Stefan Esser gehört, am 3. November einen Angriff auf ein iPhone 18 Pro mit aktiviertem «Lockdown Mode (Blockierungsmodus)» in einem Video auf X vorgeführt. Kommentiert hat das Team die Demo knapp mit «Lockdown Mode helps, until it doesn’t. (Der Blockierungsmodus hilft – bis er es nicht mehr tut.)»

Lockdown Mode helps, until it doesn't. https://t.co/1UyxPHQUAe

— Calif (@calif_io) November 3, 2026

Wie informiert wird, beginnt der Angriff auf einem iPhone mit einer iOS-Version vor 27.2: Das Opfer erhält per AirDrop ein manipuliertes PDF und nimmt dieses an. Kurz darauf ist das Gerät geknackt und zeigt eine von Calif gestaltete Animation. Danach wird iOS 27.2 installiert, welches laut Calif die meisten der für einen früheren Jailbreak genutzten Lücken schliessen soll. Den aktuellen Exploit wird das iPhone damit allerdings nicht los: Die Animation erscheint schon bei der Eingabe des Gerätecodes wieder. Ob sich der Angriff auch auf einem iPhone ausführen lässt, auf dem bereits iOS 27.2 läuft, ist derweil offen, wie etwa MacRumors festhält.

Gegenüber Heise hat Esser inzwischen erste Details verraten: Gelangt ein PDF über Safari oder AirDrop aufs Gerät, wird es im Blockierungsmodus über die App «Preview (Vorschau)» angezeigt. Dort sei Apples erweiterter Speicherschutz «Memory Integrity Enforcement (MIE)» nur aktiv, wenn auch der Blockierungsmodus läuft – dem Team sei es jedoch gelungen, diesen zu umgehen. Dass der Exploit das Update übersteht, liege an einem Fehler an einer Stelle, die vom Update «nicht angerührt» werde. Diese Persistenzlücke habe Apple noch nicht geschlossen, da Calif die technischen Details noch nicht übermittelt habe. Wie MacRumors schreibt, wolle das Team die Lücken an Apple melden; ein Jailbreak-Tool für Endnutzende sei nicht geplant.

Apple hatte im vergangenen März gegenüber TechCrunch erklärt, dem Konzern sei kein erfolgreicher Angriff von Söldner-Spyware auf ein Gerät mit aktivem Blockierungsmodus bekannt. Die Aussage bezog sich auf reale Spyware-Angriffe – bei der Calif-Demo handelt es sich um eine Vorführung von Sicherheitsforschenden. Esser sieht solche Aussagen dennoch kritisch: «Das ist vor allem Marketing.» Der Blockierungsmodus könne in der Realität nichts unterbinden, sondern lediglich Funktionen abschalten, Schutzmechanismen verschärfen oder «Zero-Click-Exploits in 1-Click-Exploits abschwächen». Bereits der im Oktober an der Sicherheitskonferenz «Hexacon» in Paris gezeigte untethered Jailbreak des Teams für iOS 27.0.1 habe auch im Blockierungsmodus funktioniert – das sei in der Demo bloss nicht zu sehen gewesen.

Für den aktuellen Angriff muss das Opfer die Datei aktiv annehmen. Ein iPhone nimmt AirDrop-Dateien indes standardmässig nur von Kontakten entgegen; der Empfang von Unbekannten muss manuell aktiviert werden und wird von iOS nach zehn Minuten automatisch wieder deaktiviert.

Bei der Suche nach Schwachstellen setzt Calif neben langjähriger Erfahrung auch auf KI. Laut einem Vortrag des Teams soll es Zugriff auf ein noch unveröffentlichtes «Cyber»-Modell der «Astra»-Reihe von OpenAI haben – damit sollen sich Zero- bis One-Click-Angriffe innert weniger Stunden erstellen lassen.

Gönner-Abo

Ab CHF 5.– im Monat

👉🏼 Wir benötigen deine Unterstützung! Unterstütze macprime mit einem freiwilligen Gönner-Abo und mache die Zukunft unseres unabhängigen Apple-Mediums aus der Schweiz mit möglich.

macprime unterstützen

❌ Schliessen