Apple räumt ein: Nur aktuelles macOS stopft alle bekannten Sicherheitslücken

Mac-Nutzer erhalten nur dann alle Sicherheits-Patches, wenn sie die jeweils allerneueste Version des Betriebssystems einsetzen. Das hat Apple erstmals öffentlich klargestellt. Aufgrund von "Abhängigkeiten in Hinblick auf Architektur und Systemänderungen" in der aktuellen Version von macOS werden "nicht mehr alle bekannten Sicherheitslücken in früheren Versionen adressiert", hält der Hersteller in einem bislang nur in englischer Fassung vorliegenden Nachtrag in einem Support-Dokument über Software-Updates für Apple-Geräte fest. Als Beispiel für die aktuelle Version nennt Apple das gerade veröffentlichte macOS 13 Ventura, eine frühere Version ist der Vorgänger macOS 12 Monterey.

Kritik an offenen Schwachstellen

Damit bestätigt Apple die Berichte von Sicherheitsforschern, die auf diese unvollständige Patch-Strategie seit Längerem hinweisen und daran auch immer wieder scharfe Kritik üben. Der Hersteller mache Nutzer so verwundbar, hieß es zuletzt im vergangenen Jahr: Eine in macOS 11 Big Sur still gestopfte Lücke wurde in der Vorgängerversion macOS 10.15 Catalina über einen Zeitraum von sieben Monaten nicht gepatcht – und in diesem Zeitraum offenbar auch aktiv für Angriffe ausgenutzt.

Ein konkretes Update-Versprechen gibt es bei Apple bislang nicht – trotz wiederholter Forderungen von Sicherheitsforschern und Kunden. Über das letzte Jahrzehnt hat sich für macOS eingespielt, dass jeweils die beiden der aktuellen Version vorausgehenden macOS-Versionen weiter Sicherheitsupdates erhalten. Apple veröffentlicht gewöhnlich jedes Jahr im Herbst ein großes Upgrade für macOS und streicht bereits mehrere Wochen zuvor den Support für eine der älteren Versionen.

macOS 13 Ventura erschien zum Beispiel am 24. Oktober, das im Herbst 2019 freigegebene macOS 10.15 Catalina erhielt sein offenbar letztes Sicherheits-Update aber schon im Juli 2022. Im August schob Apple noch einen wichtigen Patch für den WebKit-Unterbau des Browsers Safari nach, auch diese Lücke wurde wohl für Angriffe ausgenutzt. Parallel zu macOS 13 hat der Hersteller für die beiden Vorgängerversionen 11 und 12 jeweils Sicherheits-Updates veröffentlicht, die allerdings nur einen auffällig kleinen Teil aller für Ventura genannten Sicherheits-Fixes enthalten.

Lesen Sie auch

Malware-FAQ: Wie sicher sind macOS, iPadOS und iOS?

Nur aktuellstes iOS vollständig gepatcht

Für ältere iPhones und iPads veröffentlicht Apple ebenfalls noch einzelne Sicherheits-Updates bei besonders gravierenden Sicherheitslücken, alle Patches erhält aber auch hier nur die neueste iOS- respektive iPadOS-Version. Apple unterstützt seine Betriebssysteme gewöhnlich auch noch auf relativ alter Hardware, in diesem Jahr stiegen die Voraussetzungen aber deutlich: So läuft iOS 16 beispielsweise nicht auf dem iPhone 7 und macOS Ventura gibt es nicht für das MacBook Pro 2016.

(lbe)