CISA heeft een Apple exploit melding toegevoegd aan de Known Exploited Vulnerabilities (KEV) catalogus. Dat betekent dat de kwetsbaarheid inmiddels is aangetroffen met actieve exploitatie, waardoor organisaties met Apple-systemen sneller moeten kijken naar patchstatus en mitigaties.
Het gaat om CVE-2024-27834, een fout met CVSS 5.5 die draait om improper authentication. Concreet kan een aanvaller met arbitrary read en write pointer authentication omzeilen, wat deuren kan openen richting verdere schadelijke stappen.
Welke Apple-kwetsbaarheid staat er op de KEV-lijst?
De kwetsbaarheid achter de melding is CVE-2024-27834. CISA beschrijft het als een probleem in de manier waarop authenticatiecontroles worden uitgevoerd. Hierdoor kan iemand die in staat is om gegevens te lezen en te schrijven, de pointer authentication bypassen.
Voor Apple werd dit eerder opgelost met verbeterde checks in meerdere releases. De fix is doorgevoerd in:
- iOS 16.7.8 en iPadOS 16.7.8
- iOS 17.5 en iPadOS 17.5
- macOS Sonoma 14.5
- tvOS 17.5
- watchOS 10.5
- Safari 17.5
Interessant is dat CVE-2024-27834 eerder als zero-day is getoond tijdens Pwn2Own Vancouver in maart 2024. Daarmee was de aanvalstechniek al vroeg in de securitywereld zichtbaar.
Waarom is de Apple exploit melding extra urgent?
De KEV-opname gebeurt niet willekeurig; CISA baseert zich op signalen dat de fout in de praktijk wordt misbruikt. Volgens CISA volgde de toevoeging op rapportage van Sekoia, waaruit blijkt dat dreigingsactoren mogelijk eerder gepatchte kwetsbaarheden in Safari en Google Chrome combineren om malware te leveren die gegevens uit browser en device kan verzamelen.
De activiteit wordt toegeschreven aan APT29 (ook bekend als Cozy Bear en Midnight Blizzard), een door de Russische Foreign Intelligence Service gelieerde staatsgroep. CISA noemt hierbij een matige tot hoge betrouwbaarheid.
Drie routes naar een besmetting
In de beschreven aanvalsopzet spelen drie mogelijke instaproutes een rol:
- via gecompromitteerde legitieme websites
- via nepwebsites die zich voordoen als bekende sites
- via een software supply chain-aanpak gericht op Plerdy SEO Tracker
In alle gevallen wordt uiteindelijk malicious JavaScript ingezet dat de kwetsbaarheid triggert. Daarna volgt de uiteindelijke datadiefstal-payload nadat het slachtoffer eerst wordt geprofileerd op basis van het apparaat.
Zero-click exploit keten: van WebKit tot cookie-diefstal
CISA beschrijft een zero-click exploit chain. Dat wil zeggen: een deel van de keten kan worden opgestart zonder dat de gebruiker expliciet iets hoeft te doen. Het gaat om een combinatie van kwetsbaarheden, waarbij de eerste schakel wordt gevormd door:
- CVE-2025-43529 — een remote code execution-fout in WebKit
- en daarna een bypass van de pointer authentication codes (PACs) rond de kwetsbaarheid in de iOS/macOS component
Deze keten leidt tot het uitvoeren van een JavaScript-payload die is ontworpen voor het stelen van browser cookies. Cookies kunnen vervolgens toegang geven tot sessies en accounts, waardoor de impact in de praktijk vaak groter is dan alleen “eenmalige infectie”.
Wat moeten organisaties nu doen?
Omdat misbruik al plaatsvindt, is patchen niet alleen “best practice” maar een concrete noodzaak. CISA adviseert FCEB-agentschappen (Federal Civilian Executive Branch) om de benodigde updates uit te voeren vóór 18 november 2026.
Ook voor organisaties buiten de federale overheid geldt: wacht niet tot het “weer een melding” wordt, maar zorg dat Apple-apparaten en Safari-componenten de bovengenoemde versies hebben ontvangen.
Praktische checklist voor beheer en IT
- Controleer iOS/iPadOS/macOS/tvOS/watchOS en Safari versies en stel vast of de fix uit mei 2024 is doorgevoerd.
- Update beleid voor gebruikers aanscherpen: forceer updates waar dat mogelijk is via MDM/management tooling.
- Beperk exposure door waar mogelijk onnodige browserfuncties te beperken en monitoring op verdachte websessies te versterken.
- Herzie supply chain risico’s: als er tools of plugins draaien die (zoals Plerdy SEO Tracker in de melding) mogelijk als schakel kunnen dienen, beoordeel dan de integriteitsstatus en actuele versies.
Wil je daarnaast inzetten op bredere defense-in-depth voor agenten en runtimegedrag? Dan is het interessant om ook te lezen hoe runtime security en governance aanvallers kunnen afremmen bij geautomatiseerde workflows: Agent runtime security: waarom één laag niet genoeg is.
Vergelijking met eerdere datadiefstal via gepatchte kwetsbaarheden
Wat deze Apple exploit melding bijzonder maakt, is niet alleen de kwetsbaarheid zelf, maar het patroon eromheen: patched fouten worden alsnog misbruikt via exploitketens en het combineren van meerdere componenten.
Eerder werd in andere contexten ook duidelijk dat attackers vaak niet “één lek” nodig hebben, maar wel een complete keten van technische mogelijkheden. Denk daarbij aan scenario’s waarin instaproutes en payloads samen een grotere datadiefstal-operatie vormen. Als je wilt zien hoe aanvallen zich kunnen richten op browser- of device-gegevens, sluit ook dit onderwerp aan: AI-toegangslekken: aanvallers jagen op tokens.
Conclusie
De update van CISA is duidelijk: Apple exploit melding rondom CVE-2024-27834 staat op de KEV-lijst omdat de kwetsbaarheid actief wordt uitgebuit. De fout maakt het mogelijk pointer authentication te omzeilen, en in combinatie met andere componenten kan dit uitmonden in datadiefstal, waaronder cookie theft via een zero-click exploitketen.
Pak dit daarom aan als een prioriteit: check je Apple- en Safari-versies, installeer de bekende fixes en versterk monitoring rond verdachte websessies en supply chain risico’s. Wie nu bijstuurt, verkleint de kans dat deze aanvalspatronen ook jouw omgeving bereiken.
Bron: https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.html
