CISA dodała CVE-2024-27834 do katalogu Known Exploited Vulnerabilities (KEV) 4 listopada 2026 r., powołując się na dowody aktywnego wykorzystywania luki. Termin remediacji upływający 18 listopada dotyczy agencji FCEB objętych dyrektywą BOD 26-04. Pozostałym organizacjom CISA zaleca priorytetyzowanie podatności z katalogu w ramach zarządzania ryzykiem.
Wpis w KEV oznacza, że CISA ma dowody aktywnego wykorzystywania podatności; termin 18 listopada dotyczy agencji FCEB.
Kogo dotyczy termin CISA
Termin 18 listopada 2026 r. widnieje przy CVE-2024-27834 w katalogu KEV CISA. Obowiązek z BOD 26-04 obejmuje agencje cywilnej władzy wykonawczej rządu federalnego USA (FCEB). Pozostałym organizacjom CISA rekomenduje podejście oparte na ryzyku i nadawanie priorytetu podatnościom ujętym w KEV. Alert CISA z 4 listopada wskazuje, że podstawą wpisu były dowody aktywnego wykorzystywania luki.
Co robi CVE-2024-27834 i które wersje Apple ją naprawiają
NVD opisuje CVE-2024-27834 jako błąd uwierzytelniania, który może pozwolić atakującemu mającemu już możliwość dowolnego odczytu i zapisu na obejście Pointer Authentication (PAC), mechanizmu uwierzytelniania wskaźników. NVD ocenia podatność na 5,5 w skali CVSS 3.1, z poziomem „średnim”.
NVD wymienia następujące poprawione wersje:
| Oprogramowanie Apple | Wersje wymienione jako poprawione przez NVD |
| Safari | 17.5 |
| iOS i iPadOS | 16.7.8 oraz 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
W przypadku urządzeń Apple należy odnieść wersję systemu do właściwej rodziny oprogramowania: lista NVD obejmuje kilka systemów i wydań, a nie każda wersja dotyczy każdego urządzenia.
Jak CVE-2024-27834 pojawia się w opisywanym łańcuchu
Według relacjonowanych ustaleń firmy Sekoia łańcuch ataku skierowany w iOS 16.7 łączył CVE-2024-27834 z CVE-2025-43529 i dostarczał złośliwy kod JavaScript służący do kradzieży ciasteczek przeglądarki. W tym opisie CVE-2024-27834 odpowiada za obejście Pointer Authentication; CISA nie przypisała kampanii żadnemu sprawcy w swoim komunikacie.
