Le 4 novembre 2026, l’agence américaine CISA a ajouté CVE-2024-27834 à son catalogue des vulnérabilités exploitées connues (KEV), en invoquant des preuves d’exploitation active. Son avis concerne une faille touchant plusieurs logiciels Apple.
Le catalogue fixe au 18 novembre 2026 l’échéance de remédiation pour les agences civiles de l’exécutif fédéral américain (FCEB), visées par la directive BOD 26-04. Pour les autres organisations, CISA recommande de prioriser les vulnérabilités du catalogue KEV selon une gestion fondée sur les risques. La fiche KEV précise cette échéance.
Pour les organisations hors du périmètre FCEB, CISA recommande une priorisation fondée sur les risques plutôt qu’une échéance imposée par BOD 26-04.
Ce que permet la faille et quelles versions NVD liste comme corrigées
La base NVD décrit CVE-2024-27834 comme une faille d’authentification incorrecte. Un attaquant disposant déjà d’une capacité arbitraire de lecture et d’écriture pourrait contourner Pointer Authentication, un mécanisme d’authentification des pointeurs. NVD attribue à la faille un score CVSS 3.1 de 5,5, soit un niveau moyen. La fiche NVD répertorie les versions Apple suivantes comme corrigées :
| Logiciel Apple | Version corrigée listée par NVD |
| Safari | 17.5 |
| iOS | 16.7.8, 17.5 |
| iPadOS | 16.7.8, 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
Le rôle de CVE-2024-27834 dans la chaîne signalée
Un compte rendu publié par The Hacker News le 4 novembre attribue à Sekoia l’analyse d’une chaîne d’attaque « Class A » ciblant iOS 16.7. Selon ce compte rendu, la chaîne associait CVE-2024-27834 et CVE-2025-43529 pour livrer un code JavaScript destiné au vol de cookies de navigateur. NVD décrit CVE-2024-27834 comme la faille de contournement de Pointer Authentication dans cette paire.
