Die Apple-Schwachstelle CVE-2024-27834 wird aktiv ausgenutzt, teilte die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) in ihrer Warnmeldung vom 4. November 2026 mit. Mit der Aufnahme in den Katalog Known Exploited Vulnerabilities (KEV) steigt die Dringlichkeit, verfügbare Korrekturen für Safari und mehrere Apple-Betriebssysteme einzuspielen. Für die Ausnutzung der Schwachstelle muss ein Angreifer bereits über die Fähigkeit verfügen, beliebigen Speicher zu lesen und zu schreiben.
Die CISA stuft das Problem als fehlerhafte Authentifizierung ein, die mehrere Apple-Produkte betrifft. Security Affairs nennt einen CVSS-Wert von 5,5 und beschreibt die Rolle der Lücke bei Angriffen, die der mit Russland in Verbindung gebrachten Cyberspionagegruppe APT29 zugeschrieben werden. Schweregrad und Nachweis einer Ausnutzung beantworten unterschiedliche Fragen: Die Aufnahme in die KEV-Liste der CISA bestätigt, dass Angreifer die Schwachstelle tatsächlich eingesetzt haben.
Wie die Schwachstelle einen Angriff vorantreibt
Die Schwachstelle untergräbt Pointer Authentication, einen Hardware-Sicherheitsmechanismus in Apple-Prozessoren, der kryptografische Signaturen nutzt, um manipulierte Zeiger zu erkennen. Diese Prüfungen begrenzen die Möglichkeit eines Angreifers, eine Speicherkorruption in die Kontrolle über die Programmausführung zu überführen.
Security Affairs zitiert das Cybersicherheitsunternehmen Sekoia mit der Erklärung, dass auf modernen Apple-Silicon-Chips der Lese- und Schreibzugriff auf den Speicher eines Browser-Renderers allein nicht ausreicht, um einen Exploit abzuschließen. Ersetzt man einen Funktionszeiger durch einen Zeiger ohne gültige Signatur, stürzt der Prozess ab. Die beschriebene Angriffskette nutzt CVE-2024-27834, um diese Prüfung zu umgehen und Zeiger so zu fälschen, dass beliebige Codeausführung möglich wird.
Die Umgehung hilft Angreifern also, über eine bereits vorhandene Speicherzugriffsmöglichkeit hinauszugehen. In Kombination mit anderen Schwachstellen schwächt sie die Abwehr gegen Speicherkorruptionsangriffe.
Im Vorgang, den Sekoia beschreibt und Security Affairs aufgreift, gelangte bösartiges JavaScript über kompromittierte Websites, gefälschte Websites und eine Supply-Chain-Kompromittierung mit dem Dienst Plerdy SEO Tracker zu den Opfern. Die Forscher schrieben die Angriffe mit mittlerer bis hoher Sicherheit APT29 zu.
Die beschriebene Zero-Click-Kette nutzte Schwachstellen in Safari und Chrome, umging Sicherheitsschutzmechanismen und installierte Informationsdiebstahl-Malware, die Browser-Cookies und Gerätedaten sammeln kann.
Korrekturen und Prioritäten bei der Behebung
Security Affairs berichtet, dass Apple die Sicherheitsprüfungen verstärkt hat, um CVE-2024-27834 in folgenden Versionen zu beheben:
- Safari 17.5.
- iOS 16.7.8 und iOS 17.5.
- iPadOS 16.7.8 und iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
Die Warnmeldung der CISA ordnet die Vorgaben für Bundesbehörden der Binding Operational Directive 26-04 zu. Diese Richtlinie verpflichtet die zivilen Behörden der US-Bundesexekutive (Federal Civilian Executive Branch), die Behebung von KEV-Schwachstellen auf öffentlich erreichbaren Systemen vorrangig und zügig anzugehen, wenn eine Ausnutzung volle Kontrolle ermöglicht. Risikoärmere Schwachstellen dürfen dagegen zurückgestellt werden. Außerdem legt sie fest, dass vor dem Patchen geprüft werden soll, ob Systeme bereits kompromittiert wurden.
Security Affairs nennt unter Verweis auf BOD 22-01 den 18. November 2026 als Frist für die Behebung. Die Warnmeldung der CISA vom 4. November beschreibt dagegen das Rahmenwerk der BOD 26-04. Diese verbindlichen Vorgaben gelten für die betroffenen zivilen Bundesbehörden. Die CISA empfiehlt anderen Organisationen, ein risikobasiertes Schwachstellenmanagement einzusetzen und KEV-Einträge ebenfalls zu priorisieren.
Administratoren, die betroffene Apple-Produkte betreiben, sollten die einschlägigen Sicherheitsupdates priorisieren und prüfen, ob ihre Installationen die Korrektur für CVE-2024-27834 erhalten haben. Dabei sind die oben genannten Unterscheidungen nach Produkt und Release-Linie zu berücksichtigen.
