Apple: bypass di Pointer Authentication sfruttato (CVE-2024-27834)

Il 4 novembre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) CVE-2024-27834, una vulnerabilità di autenticazione impropria in diversi prodotti Apple. L’inserimento nel catalogo significa che, per la CISA, la vulnerabilità è sfruttata in attacchi reali. La correzione non è nuova: è contenuta in Safari 17.5, iOS e iPadOS 16.7.8 e 17.5, macOS Sonoma 14.5, tvOS 17.5 e watchOS 10.5, aggiornamenti di maggio 2024 (la scheda NVD è stata pubblicata il 14 maggio 2024). Il rischio riguarda quindi i dispositivi e i sistemi che da allora non sono stati aggiornati.

Le informazioni di questo articolo vengono da un’unica fonte, la scheda del catalogo KEV con i dati di NVD: l’avviso non dice chi abbia sfruttato la vulnerabilità, contro chi né da quando.

Che cosa permette la vulnerabilità

Secondo la descrizione pubblicata da NVD, un attaccante che ha già la capacità di leggere e scrivere in modo arbitrario nella memoria può aggirare Pointer Authentication. Apple ha risolto il problema «con controlli migliorati».

Pointer Authentication (PAC) è la protezione dei processori Apple su architettura ARM che firma i puntatori con un codice crittografico e lo verifica prima di usarli: serve a impedire che un attaccante in grado di scrivere in memoria dirotti il flusso di esecuzione del programma. Aggirarla toglie una delle barriere tra un difetto di corruzione della memoria e un’esecuzione di codice affidabile.

Dalla descrizione stessa risulta che CVE-2024-27834 non basta da sola: presuppone una capacità di lettura e scrittura arbitraria ottenuta in altro modo, quindi si usa in una catena di exploit insieme ad almeno un’altra vulnerabilità. La scheda KEV non indica quali.

Dettagli tecnici

• CVE: CVE-2024-27834, classificata da NVD come CWE-287 (autenticazione impropria).
• CVSS 3.1: 5.5, gravità media, vettore AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N, con lo stesso punteggio da NVD e dal CNA. Attacco locale, bassa complessità, privilegi bassi, nessuna interazione dell’utente, impatto alto sull’integrità.
• Prodotti e versioni colpite (CPE di NVD):
  • Safari precedente a 17.5;
  • iOS e iPadOS precedenti a 16.7.8, e dalla 17.0 alla 17.5 esclusa;
  • macOS precedente a 14.5 (Sonoma);
  • tvOS precedente a 17.5 e watchOS precedente a 10.5;
  • WebKitGTK e WPE WebKit precedenti a 2.44.2;
  • Fedora 39 e 40.
• Ransomware: per la CISA l’uso in campagne ransomware è «sconosciuto».
• Scadenza per le agenzie federali statunitensi: 18 novembre 2026.

Tra i riferimenti della scheda NVD, oltre ai bollettini di Apple, compare un’analisi di terze parti di Sekoia, il cui indirizzo fa riferimento a watering hole attribuiti ad APT29 contro dispositivi mobili con exploit n-day. Né la CISA né NVD collegano in modo esplicito lo sfruttamento a quella campagna, e l’avviso non riporta indicatori di compromissione. Per lo stesso motivo non indichiamo tecniche MITRE ATT&CK: le fonti non descrivono la catena di attacco.

Impatto per le aziende europee e italiane

Il punteggio medio può trarre in inganno: conta che la vulnerabilità sia sfruttata e che serva a completare catene di attacco contro dispositivi Apple. I casi più esposti sono:

• iPhone e iPad rimasti su iOS 16 o 17 non aggiornati, comprese le unità condivise in reparto, in negozio o in magazzino e quelle personali usate per la posta aziendale;
• Mac con macOS precedente a Sonoma 14.5, o con Safari non aggiornato;
• postazioni e sistemi Linux con WebKitGTK o WPE WebKit precedenti a 2.44.2; NVD cita in particolare Fedora 39 e 40.

Per i soggetti NIS2 la gestione delle vulnerabilità comprende anche smartphone, tablet e Mac: una falla corretta da oltre due anni e ora confermata come sfruttata è un buon banco di prova per capire se l’inventario dei dispositivi è completo. Nella sanità, dove iPad e iPhone servono spesso a consultare dati clinici, i dispositivi datati vanno controllati per primi.

Cosa fare subito

1. Fai l’inventario: dalla console MDM estrai gli iPhone e gli iPad con una versione precedente a 16.7.8 o con una 17.x precedente a 17.5, i Mac con macOS precedente a Sonoma 14.5, le Apple TV precedenti a tvOS 17.5 e gli Apple Watch precedenti a watchOS 10.5.
2. Aggiorna: le versioni indicate sono il minimo per questa vulnerabilità; se il dispositivo lo consente, portalo all’ultima versione supportata, che contiene anche le correzioni uscite dopo.
3. Controlla Linux: verifica la versione dei pacchetti WebKitGTK e WPE WebKit e aggiornali almeno a 2.44.2 con i repository della distribuzione.
4. Gestisci i dispositivi che non si aggiornano: per i prodotti senza correzione la CISA indica di smettere di usarli; in azienda vuol dire toglierli dall’accesso ai dati aziendali o sostituirli.
5. Documenta: registra l’esito della verifica nel processo di gestione delle vulnerabilità, con la data e i dispositivi coinvolti.

Come aiuta ARXDOME

Su Mac e Linux l’agent di ARX Sentry raccoglie l’inventario di sistema e software, quindi mostra quali macchine hanno ancora macOS precedente a Sonoma 14.5 o pacchetti WebKitGTK e WPE WebKit da aggiornare. ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto, mette in evidenza quelle già sfruttate e ne segue l’andamento fino alla chiusura. Per iPhone e iPad il punto di controllo resta la console MDM.

Ultimo aggiornamento: 4 novembre 2026