worse_query lässt iOS-Apps Dateien anderer Apps lesen, kein Apple-Patch genannt

Ein Zero-Day in der iOS-Sandbox-Isolation

Ein iOS-Zero-Day namens worse_query erlaubt bösartigen Apps, Dateien anderer Apps zu lesen. Der Sicherheitsforscher forcequitOS veröffentlichte am 8. November 2026 einen funktionierenden Proof of Concept auf GitHub. Der Fehler gilt als Nachfolger eines früheren Exploits namens bad_query.

iOS hält jede App normalerweise in einer isolierten Sandbox. Worse_query missbraucht eine Query-Schnittstelle im Container-Manager über symbolische Links in einem App-Group-Container. So kann eine bösartige App Datenbanken, Dokumente, Caches und Konfigurationsdateien anderer Apps lesen, ändern oder löschen, ohne Jailbreak und ohne Kernel-Exploit, wie die Analyse der Sicherheitsfirma Ostostorlab zeigt.

Warnung von Binance, begrenzter Patch

Binance veröffentlichte am 10. November 2026 eine Warnung auf X. Das Problem betreffe iOS auf Systemebene, einschließlich der Versionen 26.7.1, 27.0.1 und 27.2. Weiter hieß es: «This is an iOS-level issue, not unique to Binance.» Die Börse riet Nutzern, Apps aus nicht vertrauenswürdigen Quellen zu löschen und iOS auf die neueste offizielle Version zu aktualisieren.

Apple veröffentlichte am 9. November 2026 iOS 27.2.1 und iOS 26.7.3. Die Sicherheitshinweise nennen keinen Fix für Sandbox-Ausbrüche und vergeben keine CVE-Kennung für worse_query. Ostorlab erklärte, die Lücke bleibe offen, ohne bestätigten Patch des Herstellers. Da keine CVE vergeben wurde, stand der Fehler am 10. November 2026 nicht im Katalog bekannter ausgenutzter Schwachstellen der CISA.

Das Wallet-Risiko ist an Bedingungen geknüpft

Laut dem Leiter Informationssicherheit bei SlowMist, bekannt als 23pds, stiehlt der Fehler allein keine Gelder. Für einen Diebstahl müssten zwei Bedingungen zugleich erfüllt sein: Der Nutzer installiert und startet eine bösartige App außerhalb des App Store, und das betroffene Wallet speichert Seed-Phrasen, Keystore-Dateien oder WebView-Caches im Klartext in einem lokal zugänglichen Ordner.

Aus dem Exploit abgeleitete Tools, öffentlich als WQ Files verbreitet, können bereits Dateien Dritter lesen, ändern und löschen. Bis zum Bericht wurden keine bestätigten Krypto-Diebstähle über worse_query gemeldet. SlowMist riet davon ab, IPAs per Sideload zu installieren, iOS aktuell zu halten, sensible Daten nur verschlüsselt zu speichern und Vermögenswerte auf ein neues Wallet auf einem sauberen Gerät zu verschieben, falls eine nicht vertrauenswürdige App installiert wurde.

Apple habe keine Mitteilung und keine korrigierte Version für worse_query veröffentlicht, so Ostorlab. Der Exploit ist weiter aktiv, der Code öffentlich verfügbar.