Fremde Mac-Apps konnten Ihre geteilten Safari-Tabs mitlesen
Bis Ende Juli konnte jede App auf Ihrem Mac Ihre geteilten Safari-Tabgruppen in Echtzeit mitlesen: ohne Berechtigungsabfrage, ohne Systemhinweis, ohne Spur in den Datenschutzeinstellungen. Apple hat die Lücke am 27. Juli in Safari 26.6 und macOS Tahoe 26.6 geschlossen, Positive Technologies hat sie am 17. August öffentlich beschrieben. Eine kleine Sache mit einer brauchbaren Lehre, und zwei Minuten am Abend wert, um zu prüfen, ob die Korrektur bei Ihnen schon liegt.
Was eine geteilte Tabgruppe ist
Eine Tabgruppe ist ein benannter Satz von Tabs, und Safari erlaubt es, sie mit anderen Menschen zu teilen. Alle Beteiligten sehen dieselbe Liste, und sie aktualisiert sich live: Sie öffnen eine Seite in dieser Gruppe, und Sekunden später steht sie auf dem Bildschirm der anderen Person. Die Funktion ist wirklich praktisch, wenn man eine Reise plant, zu zweit Preise vergleicht oder mit Kolleginnen Links durchgeht, und genau deshalb ist der Inhalt solcher Gruppen oft privat.
Genau diese Live-Synchronisierung ist abgeflossen. Die Schwachstelle mit der Nummer CVE-2026-43792 und der Bewertung 6,5 steckte im Autorisierungsmechanismus von Safari: Eine Anwendung auf demselben Mac konnte die Änderungen in geteilten Tabgruppen abonnieren und zusehen, wie sie eintreffen, ohne dass das System Sie je gefragt hätte, ob diese App an Safari-Daten darf.
Was eine fremde App sehen konnte und was nicht
Der Umfang ist wichtig und schmaler, als die Überschrift klingt. Nach außen ging der Strom der Änderungen in geteilten Tabgruppen, also die Adressen, die in Gruppen auftauchen, die Sie mit jemandem teilen. Ihr gesamter Verlauf, gespeicherte Passwörter, Formulardaten und private Fenster gehörten nicht dazu. Apple beschreibt die Auswirkung in der üblichen Formel: Eine App konnte auf sensible Nutzerdaten zugreifen, behoben durch verbesserte Zustandsverwaltung.
Bemerkenswert ist die nicht gestellte Frage. Unter macOS sind Sie darauf trainiert, ein Dialogfenster zu erwarten: Eine App möchte an Ihre Dateien, Ihre Kamera, Ihren Bildschirm, Ihre Kontakte. Diese Abfrage ist das ganze Versprechen des Berechtigungsmodells. Hier gab es keine, weil die Prüfung, die sie hätte auslösen müssen, nicht stattfand. Ein Programm, das Sie für etwas völlig anderes installiert hatten, konnte still mitlesen, was Sie und die andere Person öffneten.
Die zweite Lücke: Kennungen des Apple-Kontos
Derselbe Forscher, von Apple als Ilya Andr (andrd3v) genannt und im Game-Center-Eintrag als Mitarbeiter von Positive Technologies geführt, meldete in derselben Juli-Runde ein zweites Problem. CVE-2026-43796 mit der Bewertung 5,5 erlaubte einer App, Kennungen zu erhalten, die mit Ihrem Apple-Konto verbunden sind. Für sich klingt das abstrakt, ist aber der Rohstoff für App-übergreifendes Tracking: Zwei Programme unterschiedlicher Anbieter können ihre Daten abgleichen und feststellen, dass sie dieselbe Person vor sich haben, was Apples eigene Tracking-Regeln gerade verhindern sollen. Diese Lücke wurde auf einen Schlag für die gesamte Produktlinie geschlossen, darunter iOS und iPadOS 26.6, macOS Sequoia 15.7.8 und macOS Sonoma 14.8.8.
In zwei Minuten geprüft
- Öffnen Sie das Apple-Menü, Systemeinstellungen, Allgemein, Softwareupdate. Auf Tahoe brauchen Sie 26.6 oder neuer, 26.6.1 zählt auch. Wenn das Update dort schon wartet, ist das ein guter Grund, es jetzt und nicht am Wochenende zu installieren.
- Wenn Sie auf Sonoma oder Sequoia geblieben sind, kommt die Korrektur separat als Safari 26.6. Öffnen Sie Safari, das Menü Safari, dann "Über Safari" und vergleichen Sie die Nummer. Ist sie kleiner, liegt das Update im selben Softwareupdate-Bereich.
- Auf iPhone und iPad: Einstellungen, Allgemein, Softwareupdate, Version 26.6 oder neuer deckt die Sache mit den Kontokennungen ab.
- Wenn Sie ohnehin in Safari sind, öffnen Sie die Seitenleiste und schauen Sie sich die Tabgruppen an. Geteilte tragen ein Teilnehmersymbol. Klicken Sie darauf und lesen Sie die Liste der Personen: Geteilte Gruppen überleben meist die Reise oder das Projekt, für das sie angelegt wurden.
- Entfernen Sie, wer dort nicht mehr hingehört, oder beenden Sie die Freigabe ganz. Alles, was Sie in einer geteilten Gruppe öffnen, sehen alle Beteiligten, und das ist die Funktion wie vorgesehen, nur wird sie gern vergessen.
Was das nicht bedeutet. Niemand hat Ihre Banking-Tabs gelesen: private Fenster und normales Surfen gehörten nicht dazu. Es gibt keine öffentlichen Belege, dass die Lücke vor der Korrektur gegen jemanden eingesetzt wurde. Und weder ein VPN noch der private Modus hätten etwas geändert, denn die Daten wurden lokal auf dem Mac abgegriffen, nicht aus Ihrer Verbindung.
Warum eine kleine Lücke den Abend trotzdem wert ist
Dasselbe macOS-Update hat 153 Schwachstellen auf einmal geschlossen. Die meisten davon werden Sie nie berühren, einige erklären genau, warum Updates nicht einen Monat liegen bleiben sollten. Eine fehlende Autorisierungsprüfung ist für sich kein Drama, aber es ist genau der Spalt, der ein System, das fragt, bevor eine App an Ihre Daten geht, von einem System unterscheidet, das nur so aussieht.
Die praktische Fassung ist kurz: Halten Sie den Rechner auf einer unterstützten Version, installieren Sie Sicherheitsupdates, wenn sie erscheinen, und sehen Sie gelegentlich nach, wer immer noch in dem sitzt, was Sie einmal geteilt haben.
