Sicherheitsforscher von Paradigm Shift haben am 18. Juni 2026 einen Exploit namens usbliter8 veröffentlicht, der die SecureROM-Bootkette von Apples A12- und A13-Chips kompromittiert. Die Lücke sitzt im BootROM, also im allerersten Code, der beim Einschalten eines Geräts ausgeführt wird. Dieser Code ist fest in den Chip eingebrannt. Ein Software-Update kann ihn nicht mehr ändern.

Was genau ist das Problem

Der Fehler steckt im USB-Controller DWC2 von Synopsys, der in den betroffenen Apple-SoCs verbaut ist. Im DFU-Modus (Device Firmware Update) nimmt der Controller per DMA bis zu drei USB-Setup-Pakete entgegen und legt sie im Speicher ab. Beim vierten Paket setzt er die Schreibadresse im Register DOEPDMA wieder auf den Ausgangswert zurück, vergleichbar mit einem Ringpuffer. Dabei erhöht der Controller die Adresse nach jedem Paket um die tatsächlich geschriebene Datenmenge, zieht beim Reset aber pauschal 24 Byte ab. Da der Controller auch kleinere Pakete akzeptiert, passt das nicht zusammen. Es entsteht ein Buffer-Underflow, der die Schreibadresse in 12-Byte-Schritten rückwärts durch den Speicher wandern lässt.

Ausnutzbar wird das, weil die USB-DART (die IOMMU des Chips) in der SecureROM von A12 und A13 im Bypass-Modus läuft. Dadurch lässt sich beliebiges SRAM überschreiben. Der Vorgänger A11 ist nicht betroffen, weil dessen USB-Treiber die DMA-Adresse nach jedem Paket manuell zurücksetzt. A14 und neuere Generationen konfigurieren die DART laut Paradigm Shift korrekt, wodurch die Lücke dort nicht ausnutzbar ist.

Auf A12-Geräten genügt eine vergleichsweise einfache Speicherüberschreibung, um die Programmkontrolle bei einem Kontextwechsel zu übernehmen. Auf A13 erschwert Pointer Authentication (PAC) den direkten Zugriff auf gespeicherte Rücksprungadressen. Die Forscher umgingen das über mehrere Zwischenschritte, unter anderem durch das gezielte Überschreiben von DART-Heap-Strukturen und das Unterdrücken eines Geräte-Neustarts bei einem Panic-Zustand. Am Ende erlangen sie in beiden Fällen volle Codeausführung mit EL1-Rechten, noch bevor iOS überhaupt geladen wird.

Was ein Angreifer damit kann

Mit der gewonnenen Kontrolle lässt sich die Signaturprüfung umgehen, ein eigenes USB-Request-Handler-Modul einschleusen, der Produktionsmodus des Chips temporär herabstufen und ein nicht signiertes iBoot-Image starten. Zur Markierung kompromittierter Geräte trägt der Exploit die Zeichenfolge PWND in die USB-Seriennummer ein, eine Konvention, die bereits vom checkm8-Exploit aus dem Jahr 2019 bekannt ist.

Wichtig für die Einordnung: Die Secure Enclave (SEP), die Passcodes und Verschlüsselungsschlüssel verwaltet, wird durch usbliter8 nicht direkt angegriffen. Die Forscher weisen aber darauf hin, dass eine kompromittierte Boot-Kette grundsätzlich neue Angriffswege in Richtung der Secure Enclave eröffnen kann, auch wenn das in der Veröffentlichung nicht demonstriert wurde.

Der Angriff erfordert in jedem Fall physischen Besitz des Geräts, DFU-Modus und eine passende USB-Verbindung. Eine Fernausnutzung ist nicht möglich.

Betroffene Geräte

Geräte mit Apple A12 Bionic oder S4:

• iPhone XS, iPhone XS Max, iPhone XR
• iPad Air (3. Generation), iPad mini (5. Generation), iPad (8. Generation)
• Apple Watch Series 4

Geräte mit Apple A13 Bionic oder S5:

• iPhone 11, iPhone 11 Pro, iPhone 11 Pro Max
• iPhone SE (2. Generation)
• iPad (9. Generation)
• Apple Studio Display
• Apple Watch Series 5, Apple Watch SE (1. Generation)
• HomePod mini

Technischer Support für A12X/A12Z (verbaut in einigen iPad-Pro-Modellen von 2018 und 2020) ist laut Paradigm Shift theoretisch möglich, aber bislang nicht umgesetzt. Diese Geräte sind also potenziell, aber noch nicht nachweislich betroffen.

Einordnung und aktueller Stand

Zum Zeitpunkt der Veröffentlichung lag weder eine CVE-Nummer noch ein offizielles Apple-Sicherheitsadvisory noch eine CISA-Warnung vor. Es gibt bislang auch keine öffentlichen Berichte über eine Ausnutzung in freier Wildbahn. Paradigm Shift hat den Fund vor der Veröffentlichung an Apple Product Security gemeldet und die Offenlegung mit Apple abgestimmt.

Für Privatpersonen ist das praktische Risiko im Alltag gering, da ein Angreifer das Gerät physisch besitzen und in den DFU-Modus bringen muss. Relevanter ist die Lücke für verlorene, gestohlene oder zur Reparatur beziehungsweise Auswertung weitergegebene Geräte, etwa bei Asservierung durch Behörden oder beim Gebrauchtgerätehandel.