ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), birden fazla Apple işletim sistemini etkileyen orta önem dereceli bir açığı, aktif olarak istismar edildiğine dair raporların ardından Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi.
Açık ne yapıyor?
CVE-2024-27834 (CVSS 5,5), rastgele okuma ve yazma yeteneğine sahip bir saldırganın Pointer Authentication korumasını atlatmasına imkân verebilen bir hatalı kimlik doğrulama açığı. Açık, Mart 2024’teki Pwn2Own Vancouver yarışmasında sıfırıncı gün olarak gösterilmişti. Apple, Mayıs 2024’te iyileştirilmiş kontrollerle şu sürümlerde düzeltti:
- iOS ve iPadOS 16.7.8
- iOS ve iPadOS 17.5
- macOS Sonoma 14.5
- tvOS 17.5
- watchOS 10.5
- Safari 17.5
Saldırılarda nasıl kullanılıyor?
Eklemenin arkasında Sekoia’nın bir raporu var. Rapora göre Rusya bağlantılı olabileceği belirtilen tehdit aktörleri, Safari ve Google Chrome’daki daha önce yamalanmış açıkları kullanarak tarayıcı ve cihaz verisi toplayan zararlı yazılım dağıttı. Faaliyet, “orta ila yüksek güvenle” Rusya Dış İstihbarat Servisi bağlantılı APT29’a (Cozy Bear, Midnight Blizzard) atfediliyor.
Saldırıların üç giriş yolu var:
- Ele geçirilmiş meşru web siteleri
- Popüler siteleri taklit eden sahte siteler
- Plerdy SEO Tracker’a yönelik bir tedarik zinciri saldırısı
Bu yollarla sunulan zararlı JavaScript, ziyaretçinin cihazını profilledikten sonra açığı tetikliyor ve bilgi hırsızı yazılımı yüklüyor. Tıklama gerektirmeyen zincir, WebKit’teki uzaktan kod çalıştırma açığı CVE-2025-43529 ile bir Pointer Authentication Codes (PAC) atlatmasını birleştirerek tarayıcı çerezlerini çalan bir JavaScript yükü çalıştırıyor.
Ne yapılmalı?
CISA, ABD federal sivil kurumlarına (FCEB) yamaları 18 Kasım 2026‘ya kadar uygulamalarını öneriyor. Bu tarih yalnızca bu kurumları bağlasa da yamalar 2024’ten beri mevcut; eski sürümde kalan Apple cihazlarının güncellenmesi gerekiyor.
Açığın CVSS puanı orta seviyede olsa da zincirin parçası olduğunda tıklamasız çerez hırsızlığına katkı sağlıyor. Olay, yönetilmeyen ya da güncellenmeyen cihazlarda eski açıkların hâlâ değerli olduğunu gösteriyor. Kaynak haber, zincirdeki iki açık için de aynı CVE numarasını verdiğinden PAC atlatmasına burada numara yazılmadı.
Kaynak: https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.html
