A CISA incluiu a vulnerabilidade CVE-2024-27834 no catálogo Known Exploited Vulnerabilities (KEV) em 4 de novembro de 2026, com base em evidências de exploração ativa. O prazo de remediação de 18 de novembro se aplica a órgãos do Federal Civilian Executive Branch (FCEB), nos Estados Unidos. Para outras organizações, a agência recomenda priorizar vulnerabilidades do KEV conforme o risco. (alerta da CISA; catálogo KEV)
A versão correta depende do software instalado: a NVD lista números de correção diferentes para iOS, iPadOS, macOS, tvOS, watchOS e Safari.
O que significa o prazo da CISA
A data de 18 de novembro de 2026 é o prazo indicado no catálogo para os órgãos FCEB, sob a diretriz BOD 26-04. A CISA recomenda que as demais organizações usem gestão de vulnerabilidades baseada em risco para priorizar falhas incluídas no KEV; não estabelece esse prazo para elas.
A sigla KEV vem de Known Exploited Vulnerabilities, catálogo de vulnerabilidades conhecidas como exploradas. Uma conversa publicada em 2022 aborda o uso do catálogo na priorização de correções:
O que a falha permite e quais versões corrigem o problema
A NVD descreve a CVE-2024-27834 como uma falha de autenticação imprópria. Um invasor que já tenha capacidade arbitrária de leitura e gravação pode, por meio dela, contornar o Pointer Authentication, mecanismo de autenticação de ponteiros. A NVD atribui à falha pontuação 5,5, classificada como média no CVSS 3.1. (registro da NVD)
| Software da Apple | Versões corrigidas listadas pela NVD |
| Safari | 17.5 |
| iOS | 16.7.8 e 17.5 |
| iPadOS | 16.7.8 e 17.5 |
| macOS Sonoma | 14.5 |
| tvOS | 17.5 |
| watchOS | 10.5 |
Compare a versão instalada com a linha correspondente ao sistema ou aplicativo usado. Os números acima são as versões que a NVD lista como correções para cada família de software.
Como a CVE aparece na cadeia de ataque relatada
A análise de campanha atribuída à empresa de segurança Sekoia descreve uma cadeia para iOS 16.7 que combinava CVE-2024-27834 com CVE-2025-43529. O relato associa essa cadeia à entrega de malware em JavaScript voltado ao roubo de cookies do navegador. A NVD identifica a CVE-2024-27834 como a falha que permite contornar o Pointer Authentication após a obtenção de capacidade arbitrária de leitura e gravação.
