watchOS 26.6.1: Apple schließt fünf Sicherheitslücken auf älteren Uhren

Am 9. November 2026 hat Apple das Betriebssystem-Update watchOS 26.6.1 mit der Build-Nummer 23U95 freigegeben. Die Aktualisierung schließt fünf Sicherheitslücken auf mehreren älteren Uhrenmodellen des Herstellers.

Zu den unterstützten Geräten gehören die Apple Watch Series 6, die Apple Watch Series 7, die Apple Watch Series 8, die zweite Generation der Apple Watch SE sowie die Apple Watch Ultra. Das älteste unterstützte Modell in dieser Reihe ist die im Jahr 2020 erschienene Series 6.

Schwachstellen beim Pairing und in der Bluetooth-Verwaltung behoben

Die geschlossenen Sicherheitslücken tragen die Kennungen CVE-2026-113964, CVE-2026-113965, CVE-2026-113968, CVE-2026-113969 sowie CVE-2026-113970. Nach Herstellerangaben und Sicherheitsberichten vom 10. November 2026 sind vier der fünf Schwachstellen aus Bluetooth-Reichweite oder über ein manipuliertes Bluetooth-Gerät ausnutzbar, während eine Schwachstelle den Zugriff aus demselben lokalen Netzwerk erfordert. Als technische Ursachen werden Logikfehler in der Zustandsverwaltung sowie im Speichermanagement genannt.

Zwei Schwachstellen betreffen die CoreUtils-Komponente: CVE-2026-113964 ermöglichte es, Begrenzungen für Pairing-Code-Versuche zu umgehen und eine Koppelung ohne Nutzerinteraktion herbeizuführen; dieser Logikfehler wurde von einem anonymen Sicherheitsforscher gemeldet. Über CVE-2026-113965 konnte ein bösartiges Bluetooth-Gerät ein Pairing ohne Beteiligung des Nutzers veranlassen, was Apple durch verbesserte Prüfmechanismen behoben hat.

Zwei weitere Lücken betreffen AirPlay und den Hintergrunddienst rapportd: Unter CVE-2026-113968 ließ sich aus Bluetooth-Reichweite die Ratenbegrenzung für Pairing-Codes umgehen. Über CVE-2026-113969 konnten Angreifer im selben Netzwerk eine entsprechende Ratenbegrenzung für AirPlay-Kopplungscodes aushebeln.

Wer sich mit der Absicherung seiner Apple-Geräte beschäftigt, stößt oft auf technisches Fachvokabular. Dieses kostenlose Lexikon erklärt die 53 wichtigsten Begriffe rund um das Apple-Ökosystem in einfachen Worten. In 10 Minuten die Apple-Sprache verstehen

Die fünfte Schwachstelle, CVE-2026-113970, liegt direkt in der Bluetooth-Komponente und basiert auf einem Use-after-free-Fehler, der aus Bluetooth-Reichweite zu einer Korruption des Prozessspeichers führen konnte.

Parallele Veröffentlichungen und Installationsanforderungen

Zu einer aktiven Ausnutzung der Schwachstellen oder zu alternativen Behelfslösungen liegen laut Medienberichten vom 10. November 2026 keine Angaben vor. Zudem führt watchOS 26.6.1 im Gegensatz zu anderen der insgesamt neun am selben Tag veröffentlichten Apple-Updates keine Korrekturen für iMessage oder das Kompressionsformat Brotli auf.

Fachbegriffe wie AirDrop, iOS oder Lightning können gerade für Einsteiger verwirrend sein, wenn es um Sicherheits-Updates geht. Ein gratis PDF-Guide bietet jetzt klare Erklärungen statt Technik-Blabla für mehr Sicherheit im digitalen Alltag. Kostenloses Apple-Lexikon jetzt herunterladen

Das Update erschien parallel zu watchOS 27.2.1 (Build 24S132), das für die Apple Watch Series 9 sowie neuere Geräte bereitgestellt wird und auf die Version watchOS 27.2 vom 26. Oktober 2026 folgt. In einer Modell-Kalenderzeile fehlte dabei die Series 7.

Nutzer können die Softwareaktualisierung über das gekoppelte iPhone einleiten, indem sie in der Apple-Watch-Anwendung den Pfad über die Menüpunkte Allgemein und Software-Update wählen. Für den Vorgang muss sich das iPhone in Funkreichweite befinden, während die Uhr in ein WLAN eingebunden ist und über eine Akkuladung von mindestens 50 Prozent verfügt. Die Dauer des Einspielens liegt laut Berichten zwischen wenigen Minuten und einer Stunde.