93← Home

CVE-2024-27834: Vulnerabilidad de Autenticación Inadecuada en Múltiples Productos Apple

Titular de Apple — Multiple Products · recopilado de 6 fuentes

CISA dice que ha añadido una nueva vulnerabilidad a su Catálogo de Vulnerabilidades Conocidas Explotadas (KEV) "basado en evidencia de explotación activa"[1]

Según Rescana, CISA añadió CVE-2024-27834, una falla de WebKit en plataformas Apple, al catálogo KEV el 4 de noviembre de 2026 y dio a las agencias federales hasta el 18 de noviembre de 2026 para corregirla[2].The Hacker News describe la falla como un bug de autenticación inadecuada (puntuación CVSS: 5.5) que podría permitir a un atacante que ya tiene capacidad arbitraria de lectura y escritura eludir la Autenticación de Punteros[3]. El medio reporta que Apple lo corrigió en mayo de 2024 en iOS e iPadOS 16.7.8 y 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 y Safari 17.5[3]. Añade que el bug fue mostrado por primera vez como un zero-day en la competencia de hackeo Pwn2Own Vancouver en marzo de 2024[3].The Hacker News dice que el listado KEV sigue a un informe de Sekoia que muestra que posibles actores de amenaza vinculados a Rusia explotaron flaws previamente parcheados en Safari y Google Chrome[3]. BleepingComputer reporta que Sekoia atribuye la operación con confianza de moderada a alta a APT29 (también conocido como Midnight Blizzard)[4].Según BleepingComputer, Sekoia dijo que los atacantes utilizaron CVE-2025-43529 y CVE-2024-27834 contra iOS 16.7[4], y el payload apunta a las cookies almacenadas en Safari[4].Infosecurity Magazine reporta que la campaña entregó cadenas de exploits a visitantes de sitios web legítimos, con payloads construidos para robar cookies, datos del dispositivo y contraseñas de Wi-Fi sin ninguna interacción del usuario[5].Gulf News reporta que los investigadores dijeron que los dispositivos que ejecutan las últimas actualizaciones de seguridad disponibles estaban protegidos contra las cadenas de exploits que identificaron[6].

Escuchar la canciónCritical CVEs (1 of 3) — November 05, 2026

Fuentes

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

Cada frase informa lo que dijo un medio identificado, con un enlace. Recopilado por 93 a partir de los reportajes siguientes.

Traducido de la edición en inglés. Las citas enlazan a los reportajes originales.

Este tema, día a día

CVE-2024-27834: Vulnerabilidad de Autenticación Inadecuada en Múltiples Productos Apple | 93