CISA nahm CVE-2024-27834 am 4. November 2026 in den Known Exploited Vulnerabilities (KEV) Catalog auf. Die Behörde begründet den Eintrag mit Hinweisen auf aktive Ausnutzung. Die Frist bis zum 18. November gilt für zivile Bundesbehörden der US-Exekutive (Federal Civilian Executive Branch, FCEB); andere Organisationen sollen KEV-Schwachstellen risikobasiert priorisieren. CISAs Mitteilung und KEV-Katalog führen den Eintrag und die Frist auf.
Der KEV-Eintrag signalisiert aktive Ausnutzung. Die konkrete CISA-Frist gilt für FCEB-Behörden.
Was CVE-2024-27834 macht und welche Apple-Versionen NVD aufführt
Laut der NVD-Datenbank kann die Schwachstelle in der Authentifizierung einem Angreifer ermöglichen, Pointer Authentication (PAC) zu umgehen. Dafür benötigt der Angreifer bereits beliebige Lese- und Schreibmöglichkeiten. NVD bewertet die Schwachstelle mit 5,5 nach CVSS 3.1, Schweregrad „Medium“.
NVD führt folgende Apple-Versionen als Fehlerbehebungen auf:
| Apple-Software | Von NVD aufgeführte Versionen mit Fehlerbehebung |
| Safari | 17.5 |
| iOS | 16.7.8 und 17.5 |
| iPadOS | 16.7.8 und 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
Was über die gemeldete Angriffskette bekannt ist
Sekoias Analyse zufolge zielte eine sogenannte Class A-Kette auf iOS 16.7 und kombinierte CVE-2024-27834 mit CVE-2025-43529. Die gemeldete Kette lieferte JavaScript-Schadsoftware zum Diebstahl von Browser-Cookies aus. NVD beschreibt CVE-2024-27834 als die Schwachstelle, die bei bereits vorhandenen Lese- und Schreibmöglichkeiten die Umgehung von Pointer Authentication ermöglicht.
