Apple: elusión de Pointer Authentication explotada (CVE-2024-27834)

El 4 de noviembre de 2026 CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) CVE-2024-27834, una vulnerabilidad de autenticación incorrecta en varios productos de Apple. La inclusión en el catálogo significa que, para CISA, la vulnerabilidad se está explotando en ataques reales. La corrección no es nueva: está incluida en Safari 17.5, iOS y iPadOS 16.7.8 y 17.5, macOS Sonoma 14.5, tvOS 17.5 y watchOS 10.5, actualizaciones de mayo de 2024 (la ficha de NVD se publicó el 14 de mayo de 2024). El riesgo afecta, por tanto, a los dispositivos y sistemas que no se han actualizado desde entonces.

La información de este artículo procede de una única fuente, la ficha del catálogo KEV con los datos de NVD: el aviso no dice quién ha explotado la vulnerabilidad, contra quién ni desde cuándo.

Qué permite la vulnerabilidad

Según la descripción publicada por NVD, un atacante que ya tiene capacidad de lectura y escritura arbitraria en la memoria puede eludir Pointer Authentication. Apple resolvió el problema «con controles mejorados».

Pointer Authentication (PAC) es la protección de los procesadores de Apple con arquitectura ARM que firma los punteros con un código criptográfico y lo verifica antes de usarlos: sirve para impedir que un atacante capaz de escribir en memoria desvíe el flujo de ejecución del programa. Eludirla elimina una de las barreras entre un fallo de corrupción de memoria y una ejecución de código fiable.

De la propia descripción se deduce que CVE-2024-27834 no basta por sí sola: presupone una capacidad de lectura y escritura arbitraria obtenida de otra forma, por lo que se usa en una cadena de exploits junto con al menos otra vulnerabilidad. La ficha KEV no indica cuáles.

Detalles técnicos

• CVE: CVE-2024-27834, clasificada por NVD como CWE-287 (autenticación incorrecta).
• CVSS 3.1: 5.5, gravedad media, vector AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N, con la misma puntuación de NVD y del CNA. Ataque local, baja complejidad, privilegios bajos, sin interacción del usuario, impacto alto en la integridad.
• Productos y versiones afectados (CPE de NVD):
  • Safari anterior a 17.5;
  • iOS y iPadOS anteriores a 16.7.8, y de la 17.0 a la 17.5 excluida;
  • macOS anterior a 14.5 (Sonoma);
  • tvOS anterior a 17.5 y watchOS anterior a 10.5;
  • WebKitGTK y WPE WebKit anteriores a 2.44.2;
  • Fedora 39 y 40.
• Ransomware: para CISA, el uso en campañas de ransomware es «desconocido».
• Plazo para las agencias federales estadounidenses: 18 de noviembre de 2026.

Entre las referencias de la ficha de NVD, además de los boletines de Apple, figura un análisis de terceros de Sekoia cuya dirección hace referencia a ataques de watering hole atribuidos a APT29 contra dispositivos móviles con exploits n-day. Ni CISA ni NVD vinculan de forma explícita la explotación con esa campaña, y el aviso no incluye indicadores de compromiso. Por el mismo motivo no indicamos técnicas de MITRE ATT&CK: las fuentes no describen la cadena de ataque.

Impacto para las empresas europeas e italianas

La puntuación media puede engañar: lo que cuenta es que la vulnerabilidad se explota y sirve para completar cadenas de ataque contra dispositivos de Apple. Los casos más expuestos son:

• iPhone y iPad que siguen en iOS 16 o 17 sin actualizar, incluidas las unidades compartidas en planta, en tienda o en almacén y las personales que se usan para el correo de la empresa;
• Mac con macOS anterior a Sonoma 14.5, o con Safari sin actualizar;
• puestos y sistemas Linux con WebKitGTK o WPE WebKit anteriores a 2.44.2; NVD menciona en particular Fedora 39 y 40.

Para las entidades sujetas a NIS2, la gestión de vulnerabilidades también abarca smartphones, tabletas y Mac: un fallo corregido hace más de dos años y ahora confirmado como explotado es una buena prueba para saber si el inventario de dispositivos está completo. En el sector sanitario, donde los iPad y los iPhone se usan a menudo para consultar datos clínicos, los dispositivos antiguos deben revisarse primero.

Qué hacer ya

1. Haz el inventario: desde la consola MDM, extrae los iPhone y los iPad con una versión anterior a 16.7.8 o con una 17.x anterior a 17.5, los Mac con macOS anterior a Sonoma 14.5, los Apple TV anteriores a tvOS 17.5 y los Apple Watch anteriores a watchOS 10.5.
2. Actualiza: las versiones indicadas son el mínimo para esta vulnerabilidad; si el dispositivo lo permite, llévalo a la última versión compatible, que incluye también las correcciones publicadas después.
3. Revisa Linux: comprueba la versión de los paquetes WebKitGTK y WPE WebKit y actualízalos al menos a 2.44.2 desde los repositorios de la distribución.
4. Gestiona los dispositivos que no se actualizan: para los productos sin corrección, CISA indica dejar de usarlos; en la empresa significa quitarles el acceso a los datos corporativos o sustituirlos.
5. Documenta: registra el resultado de la revisión en el proceso de gestión de vulnerabilidades, con la fecha y los dispositivos afectados.

Cómo ayuda ARXDOME

En Mac y Linux, el agente de ARX Sentry recopila el inventario de sistema y software, así que muestra qué máquinas siguen con macOS anterior a Sonoma 14.5 o tienen paquetes WebKitGTK y WPE WebKit por actualizar. ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete, destaca las que ya se explotan y sigue su evolución hasta el cierre. Para iPhone y iPad, el punto de control sigue siendo la consola MDM.

Última actualización: 4 de noviembre de 2026