CISA incorporó CVE-2024-27834 a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 4 de noviembre de 2026, al citar indicios de explotación activa. La fecha límite del 18 de noviembre que figura en la entrada corresponde a las agencias federales civiles del poder ejecutivo de Estados Unidos (FCEB), sujetas a la directiva BOD 26-04. CISA explicó el alcance de la directiva y el catálogo KEV fija la fecha.
La inclusión en KEV señala explotación activa; el plazo de remediación depende de qué organismos están sujetos a la directiva.
A quién alcanza el plazo de CISA
El 18 de noviembre de 2026 es la fecha de remediación para las agencias FCEB. Para las demás organizaciones, CISA recomienda priorizar las vulnerabilidades incluidas en KEV mediante una gestión basada en riesgos; la fecha de la entrada no les impone ese plazo federal.
Qué hace CVE-2024-27834 y qué versiones de Apple la corrigen
NVD describe CVE-2024-27834 como una vulnerabilidad de autenticación impropia que puede permitir a un atacante que ya dispone de capacidad arbitraria de lectura y escritura eludir Pointer Authentication, una protección de seguridad. NVD le asigna una puntuación CVSS 3.1 de 5,5, con gravedad media. La ficha de NVD recoge la descripción y las versiones corregidas.
| Software de Apple | Versiones corregidas que enumera NVD |
| Safari | 17.5 |
| iOS | 16.7.8 y 17.5 |
| iPadOS | 16.7.8 y 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
Qué se ha reportado sobre la cadena para iOS
Los hallazgos de campaña atribuidos a Sekoia describen una cadena Class A dirigida a iOS 16.7 que combina CVE-2024-27834 y CVE-2025-43529. Según ese análisis, la cadena entregaba malware JavaScript destinado a robar cookies del navegador. NVD identifica CVE-2024-27834 como la vulnerabilidad que permite eludir Pointer Authentication; la descripción de la cadena y su uso corresponden a los hallazgos atribuidos a Sekoia.
