CISA ha aggiunto CVE-2024-27834 al catalogo Known Exploited Vulnerabilities (KEV) il 4 novembre 2026, sulla base di evidenze di sfruttamento attivo. La scadenza del 18 novembre indicata per la correzione riguarda le agenzie del ramo esecutivo civile federale degli Stati Uniti (FCEB), ai sensi della direttiva BOD 26-04. Avviso di CISA · Catalogo KEV
Per capire a chi si applica la scadenza, il riferimento decisivo è il perimetro FCEB: riguarda le agenzie federali statunitensi.
A chi si applica la scadenza del 18 novembre
Il termine del 18 novembre 2026 riguarda le agenzie FCEB. Per le altre organizzazioni, CISA raccomanda di dare priorità alle vulnerabilità inserite nel catalogo KEV attraverso una gestione del rischio basata sulle proprie condizioni operative.
Cosa fa la vulnerabilità e quali versioni Apple correggono il problema
NVD descrive CVE-2024-27834 come una vulnerabilità di autenticazione impropria che può consentire di aggirare Pointer Authentication (PAC), una protezione legata all'autenticazione dei puntatori. Per riuscirci, l'attaccante deve già disporre di capacità arbitrarie di lettura e scrittura. La scheda NVD della vulnerabilità elenca queste versioni correttive:
| Software Apple | Versioni corrette elencate da NVD |
| Safari | 17.5 |
| iOS e iPadOS | 16.7.8 e 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
Cosa riferisce Sekoia sulla catena per iOS
Secondo Sekoia, una catena d'attacco denominata Class A era diretta contro iOS 16.7 e combinava CVE-2024-27834 e CVE-2025-43529 per distribuire malware JavaScript destinato a sottrarre cookie del browser. Nella ricostruzione di Sekoia, CVE-2024-27834 è la vulnerabilità che aggira Pointer Authentication; NVD specifica che ciò richiede capacità arbitrarie di lettura e scrittura.
