Die Schadsoftware Pegasus ist Apple seit rund zwei Wochen bekannt. Die Software nutzt gleich drei bisher unbekannte Schwachstellen in iOS aus. Angreifer können so SMS und E-Mails mitlesen, Anrufe verfolgen, Passwörter erbeuten, Tonaufnahmen machen und den Aufenthaltsort des Gerätes - und damit des Nutzers - über GPS verfolgen. Anders als viele Sicherheitslücken kann Pegasus seinen Angriff vergleichsweise einfach über den Apple-Browser Safari realisieren, die Installation einer manipulierten App ist nicht nötig. Wird eine präparierte Webseite angezeigt, kann Pegasus im Hintergrund Befehle ausführen und Daten aus dem Kernel von iOS auslesen. Der Klick auf einen präparierten Link genügt bereits, um Pegasus zu aktivieren. Einziges auffälliges Merkmal: Der Safari-Browser schließt sich, wenn eine so manipulierte Seite aufgerufen wurde. Das passiert sonst vergleichsweise selten, kommt aber schon ab und an vor und erregt nicht unbedingt sofort Misstrauen.
Der Download der neuen iOS-Version erfolgt wie üblich drahtlos als OTA-Update, der Einsatz eines Computers ist nicht notwendig. Neben iPhone und iPad wird auch der iPod Touch mit dem Update versorgt.