La vulnerabilidad de Apple CVE-2024-27834 está siendo explotada activamente, según indicó la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) en su alerta del 4 de noviembre de 2026. Su inclusión en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) eleva la prioridad de aplicar las correcciones disponibles en Safari y en varios sistemas operativos de Apple. Para explotar el fallo, el atacante necesita ya disponer de capacidades arbitrarias de lectura y escritura en memoria.
CISA clasifica el problema como una autenticación incorrecta que afecta a varios productos de Apple. Security Affairs informa de una puntuación CVSS de 5,5 y describe su papel en ataques atribuidos al grupo de ciberespionaje APT29, vinculado a Rusia. La puntuación de gravedad y las pruebas de explotación responden a preguntas distintas: el listado de CISA confirma que los atacantes han utilizado la vulnerabilidad.
Cómo el fallo facilita un ataque
La vulnerabilidad socava Pointer Authentication (autenticación de punteros), un mecanismo de seguridad por hardware de los procesadores de Apple que emplea firmas criptográficas para detectar punteros manipulados. Estas comprobaciones limitan la capacidad del atacante para convertir una corrupción de memoria en control sobre la ejecución del programa.
Security Affairs cita a la firma de ciberseguridad Sekoia, que explica que, en los chips Apple modernos, el acceso de lectura y escritura en memoria dentro del renderizador de un navegador no basta por sí solo para completar un exploit. Sustituir un puntero de función por otro que carece de firma válida hace que el proceso se bloquee. La cadena de ataque descrita utiliza CVE-2024-27834 para superar esa comprobación y falsificar punteros que permiten la ejecución arbitraria de código.
Por tanto, el bypass ayuda a los atacantes a ir más allá de una capacidad de acceso a la memoria que ya tienen, debilitando las defensas frente a ataques de corrupción de memoria cuando se combina con otras vulnerabilidades.
En la actividad descrita por Sekoia e informada por Security Affairs, código JavaScript malicioso llegó a las víctimas a través de sitios web comprometidos, sitios web falsos y un compromiso de la cadena de suministro que involucró a Plerdy SEO Tracker. Los investigadores atribuyeron los ataques a APT29 con un grado de confianza moderado a alto.
La cadena zero-click descrita explotó vulnerabilidades de Safari y Chrome, eludió protecciones de seguridad y desplegó malware de robo de información capaz de recopilar cookies del navegador y datos del dispositivo.
Parches y prioridades de remediación
Security Affairs informa de que Apple reforzó las comprobaciones de seguridad para corregir CVE-2024-27834 en estas versiones:
- Safari 17.5.
- iOS 16.7.8 y iOS 17.5.
- iPadOS 16.7.8 y iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
La alerta de CISA sitúa los requisitos federales de remediación en la Directiva Operativa Vinculante 26-04 (BOD 26-04). Esa directiva obliga a las agencias civiles del Poder Ejecutivo Federal a priorizar la remediación rápida de las vulnerabilidades del catálogo KEV en activos expuestos públicamente cuando su explotación otorga control total, y a aplazar las vulnerabilidades de menor riesgo. También establece expectativas para comprobar si los sistemas fueron comprometidos antes de aplicar el parche.
Security Affairs da como plazo federal de remediación el 18 de noviembre de 2026, citando la BOD 22-01; sin embargo, la alerta de CISA del 4 de noviembre describe el marco de la BOD 26-04. Estos requisitos vinculantes se aplican a las agencias civiles federales incluidas en su ámbito. CISA anima también a otras organizaciones a aplicar una gestión de vulnerabilidades basada en el riesgo y a priorizar las entradas del catálogo KEV.
Los administradores de productos Apple afectados deben priorizar las actualizaciones de seguridad aplicables y verificar que sus despliegues han recibido la corrección de CVE-2024-27834, teniendo en cuenta las distinciones de producto y de línea de versiones señaladas más arriba.
