Chyba opravená už v roce 2024 se objevila v útocích na mobilní zařízení. Ve spojení s další zranitelností umožňuje překonat ochranu paměti a podílet se na krádeži cookies; novým přírůstkem KEV je CVE-2024-27834 ve WebKitu.

CISA zařadila zranitelnost do katalogu 4. listopadu 2026. Týká se produktů Apple využívajících WebKit, včetně iOS, iPadOS, macOS, Safari, tvOS a watchOS. Hodnocení CISA ADP v záznamu CVE uvádí CVSS 3.1 ve výši 5,5, tedy střední závažnost. Toto skóre popisuje samotnou chybu za jejích vstupních podmínek, nikoli dopad celého útoku sestaveného z více zranitelností.

Podmínkou je, že útočník už dokáže libovolně číst a zapisovat do paměti příslušného procesu. CVE-2024-27834 mu následně umožňuje obejít Pointer Authentication, ochranu ověřující ukazatele v paměti. Nejde o přihlášení k účtu Apple ani o obejití vícefaktorového ověřování. Ukazatele jsou adresy, podle kterých program nachází data nebo pokračuje v provádění kódu; jejich podvržení může změnit další běh programu.

Apple tuto ochranu staví na autentizačních kódech PAC. Před uložením dostává ukazatel kryptografický podpis, který se při dalším použití ověřuje. Neoprávněná změna má způsobit selhání ověření a zastavení procesu namísto provedení podvržené operace. Obejití této kontroly proto může útočníkovi pomoci využít již získaný přístup do paměti. Samotná zde popsaná chyba však takový počáteční přístup nezajišťuje.

Konkrétní souvislost přinesl rozbor Sekoia zveřejněný 4. listopadu. Výzkumníci popsali kampaň využívající napadené i napodobené weby k doručování exploitů mobilním návštěvníkům. Jedna analyzovaná větev pro iOS 16.7 kombinovala počáteční zranitelnost s CVE-2024-27834 pro obejití PAC a následnou krádeží cookies. Celou kampaň Sekoia připisuje se střední až vysokou mírou jistoty skupině APT29. Zpráva popisuje i jiné útokové řetězce; jejich možnosti nelze automaticky připsat této jediné chybě.