Secondo l'avviso del 4 novembre 2026 della U.S. Cybersecurity and Infrastructure Security Agency, la vulnerabilità Apple CVE-2024-27834 è sfruttata attivamente. Il suo inserimento nel catalogo Known Exploited Vulnerabilities (KEV) aumenta la priorità di applicare le correzioni disponibili per Safari e diversi sistemi operativi Apple. Per sfruttare la falla, l'attaccante deve già disporre di capacità arbitrarie di lettura e scrittura della memoria.
La CISA classifica il problema come autenticazione impropria che interessa più prodotti Apple. Security Affairs riporta un punteggio CVSS di 5,5 e descrive il ruolo della vulnerabilità in attacchi attribuiti al gruppo di cyberspionaggio APT29, collegato alla Russia. Il punteggio di gravità e le prove di sfruttamento rispondono a domande diverse: l'inserimento nel catalogo da parte della CISA conferma che gli attaccanti hanno usato la vulnerabilità.
Come la falla facilita un attacco
La vulnerabilità compromette Pointer Authentication, un meccanismo di sicurezza hardware dei processori Apple che usa firme crittografiche per aiutare a rilevare puntatori alterati. Questi controlli limitano la capacità dell'attaccante di trasformare una corruzione della memoria in controllo dell'esecuzione del programma.
Security Affairs riporta la spiegazione della società di cybersicurezza Sekoia: sui chip Apple silicon moderni, l'accesso in lettura e scrittura alla memoria all'interno del renderer di un browser non basta da solo a completare un exploit. Sostituire un puntatore a funzione con uno privo di una firma valida fa andare in crash il processo. La catena di attacco descritta usa CVE-2024-27834 per superare quel controllo e falsificare puntatori che consentono l'esecuzione di codice arbitrario.
Il bypass aiuta quindi gli attaccanti a andare oltre una capacità di accesso alla memoria già disponibile, indebolendo le difese contro gli attacchi di corruzione della memoria se combinato con altre vulnerabilità.
Nell'attività descritta da Sekoia e riportata da Security Affairs, il JavaScript malevolo ha raggiunto le vittime attraverso siti web compromessi, siti web falsi e una compromissione della supply chain che ha coinvolto Plerdy SEO Tracker. I ricercatori attribuiscono gli attacchi ad APT29 con un livello di confidenza da moderato ad alto.
La catena zero-click riportata ha sfruttato vulnerabilità in Safari e Chrome, ha aggirato le protezioni di sicurezza e ha installato malware per il furto di informazioni, in grado di raccogliere cookie del browser e dati del dispositivo.
Correzioni e priorità di intervento
Security Affairs riferisce che Apple ha rafforzato i controlli di sicurezza per risolvere CVE-2024-27834 nelle seguenti versioni:
- Safari 17.5.
- iOS 16.7.8 e iOS 17.5.
- iPadOS 16.7.8 e iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
L'avviso della CISA colloca gli obblighi federali di correzione nella Binding Operational Directive 26-04. La direttiva impone alle agenzie federali civili del Federal Civilian Executive Branch di dare priorità alla rapida correzione delle vulnerabilità KEV sugli asset esposti pubblicamente, dove lo sfruttamento concede il controllo totale, rinviando quelle a rischio più basso. Stabilisce inoltre le aspettative per verificare se i sistemi siano stati compromessi prima dell'applicazione della patch.
Security Affairs indica il 18 novembre 2026 come scadenza federale per le correzioni, citando la BOD 22-01; l'avviso della CISA del 4 novembre descrive invece il quadro della BOD 26-04. Questi obblighi vincolanti si applicano alle agenzie federali civili interessate. La CISA invita anche le altre organizzazioni a usare una gestione delle vulnerabilità basata sul rischio e a dare priorità alle voci KEV.
Gli amministratori che gestiscono prodotti Apple interessati dovrebbero dare priorità agli aggiornamenti di sicurezza applicabili e verificare che le proprie installazioni abbiano ricevuto la correzione per CVE-2024-27834, tenendo conto delle distinzioni per prodotto e per linea di rilascio indicate sopra.
