CISA confirma exploração de falha da Apple em iOS e macOS
A CISA adicionou a CVE-2024-27834, falha de autenticação imprópria em iOS, iPadOS, macOS, Safari, tvOS e watchOS 10.5, ao catálogo KEV, indicando exploração confirmada. Um atacante com capacidade de leitura e escrita arbitrárias pode contornar a autenticação de ponteiros, recurso de segurança da memória. Órgãos federais dos EUA devem aplicar correções e mitigações até 18 de novembro de 2026.
O que aconteceu
A CISA incluiu a falha CVE-2024-27834 da Apple, presente em iOS, iPadOS, macOS, Safari, tvOS e watchOS 10.5, no catálogo de vulnerabilidades exploradas (KEV). Segundo a agência, a falha de autenticação permite que um atacante contorne a autenticação de ponteiros, uma proteção da memória.
Por que importa
A entrada no KEV significa que a CISA considera a falha ativamente explorada. Dispositivos Apple com os sistemas listados podem ter essa proteção de memória contornada por atacantes que já tenham acesso avançado de leitura e escrita. A CISA relata uso em ransomware como desconhecido.
O que fazer
Atualize os dispositivos Apple da empresa conforme as instruções do fabricante e confirme as versões instaladas. Órgãos federais dos EUA têm prazo até 18 de novembro de 2026; a CISA orienta descontinuar o produto se não houver mitigação disponível.
Para o time técnico
- CVE
- CVE-2024-27834
- Afetados
- Apple iOS, iPadOS, macOS, Safari, tvOS e watchOS · iOS, iPadOS, macOS, Safari, tvOS e watchOS 10.5, conforme a descrição da CISA.
- Exploração
- Exploração confirmada pela inclusão da CVE-2024-27834 no catálogo KEV da CISA. Uso em ransomware: desconhecido, segundo a entrada da CISA.
- Correção
- A fonte não informa versões corrigidas. Ação exigida pela CISA: aplicar mitigações conforme instruções do fabricante, seguindo a BOD 26-04, ou descontinuar o produto se não houver mitigação.
- Vetor
- Autenticação imprópria em produtos Apple. Permite que um atacante com capacidade de leitura e escrita arbitrárias contorne a autenticação de ponteiros, recurso de segurança da memória.
- Mais detalhes
- Prazo federal para aplicação: 18 de novembro de 2026. A CISA exige aderência à BOD 26-04 (Prioritizing Security Updates Based on Risk), aos requisitos de triagem forense e avaliação da exposição à internet de cada ativo.
Linha do tempo
CISA incluiu a CVE-2024-27834 na KEV com prazo federal de 18/11/2026.
