La vulnérabilité Apple CVE-2024-27834 fait l'objet d'une exploitation active, selon l'alerte du 4 novembre 2026 de la Cybersecurity and Infrastructure Security Agency des États-Unis. Son ajout au catalogue des vulnérabilités connues exploitées (KEV) accroît la priorité d'application des correctifs disponibles pour Safari et plusieurs systèmes d'exploitation d'Apple. Pour exploiter la faille, un attaquant doit déjà disposer de capacités de lecture et d'écriture arbitraires en mémoire.
La CISA classe ce problème comme une authentification incorrecte touchant plusieurs produits Apple. Security Affairs indique un score CVSS de 5,5 et décrit son rôle dans des attaques attribuées au groupe de cyberespionnage APT29, lié à la Russie. Le score de gravité et la preuve d'exploitation répondent à des questions différentes : l'inscription de la CISA confirme que des attaquants ont utilisé la vulnérabilité.
Comment la faille fait progresser une attaque
La vulnérabilité compromet Pointer Authentication, un mécanisme de sécurité matériel des processeurs Apple qui utilise des signatures cryptographiques pour aider à détecter les pointeurs altérés. Ces vérifications limitent la capacité d'un attaquant à transformer une corruption de mémoire en contrôle de l'exécution du programme.
Security Affairs cite l'éditeur de cybersécurité Sekoia, qui explique que, sur les puces Apple modernes, l'accès en lecture et en écriture à la mémoire dans le moteur de rendu d'un navigateur ne suffit pas à lui seul pour finaliser un exploit. Remplacer un pointeur de fonction par un pointeur sans signature valide fait planter le processus. La chaîne d'attaque signalée utilise CVE-2024-27834 pour contourner cette vérification et forger des pointeurs permettant l'exécution de code arbitraire.
Ce contournement aide donc les attaquants à aller au-delà d'une capacité d'accès mémoire existante et affaiblit les défenses contre les attaques par corruption de mémoire lorsqu'il est combiné à d'autres vulnérabilités.
Dans l'activité décrite par Sekoia et rapportée par Security Affairs, du JavaScript malveillant atteignait les victimes via des sites web compromis, de faux sites web et une compromission de la chaîne d'approvisionnement impliquant Plerdy SEO Tracker. Les chercheurs ont attribué ces attaques à APT29 avec un degré de confiance modéré à élevé.
La chaîne zero-click signalée exploitait des vulnérabilités dans Safari et Chrome, contournait des protections de sécurité et déployait un logiciel malveillant voleur d'informations, capable de collecter les cookies du navigateur et les données de l'appareil.
Correctifs et priorités de remédiation
Security Affairs indique qu'Apple a renforcé les contrôles de sécurité pour corriger CVE-2024-27834 dans les versions suivantes :
- Safari 17.5.
- iOS 16.7.8 et iOS 17.5.
- iPadOS 16.7.8 et iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
L'alerte de la CISA place les exigences fédérales de remédiation dans le cadre de la directive opérationnelle contraignante (Binding Operational Directive) 26-04. Cette directive impose aux agences civiles fédérales du pouvoir exécutif (Federal Civilian Executive Branch) de donner la priorité à la remédiation rapide des vulnérabilités du catalogue KEV sur les actifs exposés publiquement lorsque leur exploitation confère un contrôle total, tout en reportant les vulnérabilités à risque moindre. Elle établit également des attentes quant à la vérification d'une éventuelle compromission des systèmes avant l'application des correctifs.
Security Affairs donne le 18 novembre 2026 comme date limite de remédiation fédérale, en citant la BOD 22-01 ; l'alerte de la CISA du 4 novembre décrit plutôt le cadre de la BOD 26-04. Ces exigences contraignantes s'appliquent aux agences civiles fédérales concernées. La CISA encourage les autres organisations à appliquer elles aussi une gestion des vulnérabilités fondée sur les risques et à prioriser les entrées du catalogue KEV.
Les administrateurs gérant des produits Apple concernés doivent prioriser les mises à jour de sécurité applicables et vérifier que leurs déploiements ont reçu le correctif pour CVE-2024-27834, en tenant compte des distinctions de produits et de branches de versions évoquées ci-dessus.
