93← Home

CVE-2024-27834 : Vulnérabilité d'authentification incorrecte dans plusieurs produits Apple

Titre de Apple — Multiple Products · compilé à partir de 6 sources

La CISA annonce qu'elle a ajouté une nouvelle vulnérabilité à son catalogue des vulnérabilités connues exploitées (KEV) « sur la base de preuves d'exploitation active »[1]

Selon Rescana, la CISA a ajouté CVE-2024-27834, une faille WebKit dans les plates-formes Apple, au catalogue KEV le 4 novembre 2026 et a donné aux agences fédérales jusqu'au 18 novembre 2026 pour la corriger[2].The Hacker News décrit la faille comme un bogue d'authentification incorrecte (score CVSS : 5,5) qui pourrait permettre à un attaquant disposant déjà de capacités de lecture et d'écriture arbitraires de contourner l'authentification des pointeurs[3]. Le média rapporte que Apple l'a corrigée en mai 2024 dans iOS et iPadOS 16.7.8 et 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 et Safari 17.5[3]. Il ajoute que le bogue a d'abord été présenté comme un zero-day au concours de piratage Pwn2Own Vancouver en mars 2024[3].The Hacker News affirme que l'inscription au KEV fait suite à un rapport de Sekoia indiquant que des acteurs de menaces possiblement liés à la Russie ont exploité des failles précédemment corrigées dans Safari et Google Chrome[3]. BleepingComputer rapporte que Sekoia attribue l'opération avec une confiance modérée à élevée à APT29 (alias Midnight Blizzard)[4].Selon BleepingComputer, Sekoia a déclaré que les attaquants ont utilisé CVE-2025-43529 et CVE-2024-27834 contre iOS 16.7[4], et la charge malveillante cible les cookies stockés dans Safari[4].Infosecurity Magazine rapporte que la campagne a livré des chaînes d'exploitation aux visiteurs de sites Web légitimes, avec des charges malveillantes conçues pour voler des cookies, des données de l'appareil et des mots de passe Wi-Fi sans aucune interaction de l'utilisateur[5].Gulf News rapporte que les chercheurs ont déclaré que les appareils exécutant les dernières mises à jour de sécurité disponibles étaient protégés contre les chaînes d'exploitation qu'ils ont identifiées[6].

Écouter la chansonCritical CVEs (1 of 3) — November 05, 2026

Sources

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

Chaque phrase rapporte ce qu’a dit un média nommé, avec un lien. Compilé par 93 à partir des reportages ci-dessous.

Traduit de l’édition anglaise. Les citations renvoient aux reportages d’origine.

Ce sujet, jour après jour

CVE-2024-27834 : Vulnérabilité d'authentification incorrecte dans plusieurs produits Apple | 93