Apple dicht meer dan 120 beveiligingslekken in iOS 27 en iPadOS 27

Apple bracht iOS 27 en iPadOS 27 op 14 september 2026 uit in Nederland, met meer dan 120 beveiligingscorrecties in de bijbehorende bulletins. De fouten raken onder meer de kernel, WebKit, privacyfuncties, authenticatie en netwerkonderdelen. Sommige problemen konden onder bepaalde omstandigheden leiden tot willekeurige code-uitvoering, hogere systeemrechten of toegang tot gevoelige gegevens.

Meer dan 120 beveiligingscorrecties

Apple beschrijft in de bulletins verschillende soorten kwetsbaarheden. Het gaat onder meer om:

• willekeurige code-uitvoering;
• verhoging van rechten tot kernel- of rootniveau;
• ontsnapping uit de sandbox, de afgeschermde omgeving waarin apps draaien;
• blootstelling van gevoelige gegevens en kernelgeheugen;
• omzeiling van privacy- en authenticatiecontroles;
• onderschepping van netwerkverkeer;
• crashes door speciaal gemaakte bestanden of webcontent;
• verwijdering van inloggegevens en denial-of-service-aanvallen.

De kernelproblemen zijn bijzonder gevoelig omdat de kernel de centrale laag van het besturingssysteem vormt. Een kwaadaardige app kon volgens Apple bij sommige fouten proberen hogere rechten te verkrijgen, kernelgeheugen vrij te geven of de indeling van dat geheugen te achterhalen.

Ook WebKit, de browserengine van Safari, kreeg meerdere patches. Die verhelpen onder meer problemen met kwaadaardige webcontent, crashes en een kwetsbaarheid waarbij een speciaal samengesteld webarchief universele cross-site scripting mogelijk kon maken.

Het getal van meer dan 120 verwijst naar beveiligingsvermeldingen in de twee bulletins. Het is geen afzonderlijk, gededupliceerd totaal van unieke kwetsbaarheden voor alle gedeelde iOS- en iPadOS-componenten.

Welke iPhones en iPads krijgen iOS 27 en iPadOS 27?

iOS 27 is beschikbaar voor de iPhone 11 en nieuwer. Voor iPadOS 27 noemt Apple de volgende ondergrenzen:

• iPad Pro 12,9-inch vanaf de vierde generatie;
• iPad Pro 11-inch vanaf de tweede generatie;
• iPad Air vanaf de vierde generatie;
• iPad vanaf de negende generatie;
• iPad mini vanaf de zesde generatie.

De beveiligingscorrecties volgen dus de compatibiliteit van de nieuwe grote systeemversies. Een iPhone 11 valt bijvoorbeeld binnen de iOS 27-doelgroep, terwijl een ouder iPhone-model buiten deze lijst valt.

De oudere tak: iOS 26.7 en iPadOS 26.7

Apple bracht op dezelfde datum ook iOS 26.7 en iPadOS 26.7 uit voor gebruikers die op de vorige grote systeemversie blijven. Die updates bevatten afzonderlijke patches, onder meer voor ImageIO, de kernel, IOGPUFamily, CoreMedia Video Toolbox en WebKit.

Dat maakt iOS 26.7 en iPadOS 26.7 tot een aparte beveiligingstak, niet tot een volledige kopie van de patches in iOS 27 en iPadOS 27. Wie op iOS 26 blijft, krijgt dus wel een beveiligingsupdate, maar de twee takken hebben niet hetzelfde gepubliceerde pakket aan correcties.

Wat staat er over misbruik van de kwetsbaarheden?

In het beveiligingsbulletin wordt geen kwetsbaarheid uit iOS 27 of iPadOS 27 aangeduid als al uitgebuit in aanvallen. Dat is de status die Apple bij deze publicatie vermeldt. De correcties blijven ondertussen relevant: een fout die nog niet als aangevallen wordt aangeduid, kan nog steeds gevolgen hebben voor de veiligheid van een apparaat zodra de technische details en aanvalsmogelijkheden bekend worden.

Voor Nederlandse gebruikers is iOS 27 sinds 14 september beschikbaar voor compatibele iPhones. De combinatie van de brede foutcategorieën en de aparte oudere beveiligingstak maakt de update relevant voor zowel apparaten die naar iOS 27 overstappen als toestellen die op iOS 26 blijven.