CVE-2024-27834: falha da Apple corrigida em 2024 agora tem exploração confirmada

O que a falha faz

A CVE-2024-27834 permite burlar o Pointer Authenticationproteção dos chips da Apple que "assina" endereços de memória, para que o programa perceba quando um invasor os adultera. A descrição da Apple no registro CVE é curta: "um invasor com capacidade arbitrária de leitura e gravação pode conseguir burlar o Pointer Authentication".

Essa condição faz diferença. O bug não é uma porta de entrada sozinho. O invasor precisa antes de outra falha que lhe dê leitura e gravação arbitráriascapacidade de ler e alterar qualquer parte da memória de um programa, normalmente por meio de um bug no navegador. O Pointer Authentication é o que costuma impedir que esse acesso vire controle do aparelho, e esta falha tira essa barreira. Na prática, desvios como esse são usados como um elo numa cadeia de exploits.

A CISA acrescentou ao registro uma nota CVSS 3.1 de 5,5. O vetor, AV:L/AC:L/PR:L/UI:N, indica que o invasor já precisa estar rodando código no aparelho.

Por que aparece agora

A CVE foi publicada em 13 de maio de 2024. A CISA inclui uma falha no catálogo quando tem evidência de exploração, o que pode acontecer muito depois da correção. O registro da CISA não diz quando os ataques aconteceram nem quem os fez, e a descrição da Apple no registro CVE não menciona exploração. Os fatos confirmados são, portanto, a data da correção e a inclusão em 4 de novembro de 2026.

O que fazer

No iPhone ou iPad, abra Ajustes > Geral > Atualização de Software e instale o que aparecer. No Mac, abra Ajustes do Sistema > Geral > Atualização de Software. Qualquer aparelho que tenha atualizado desde maio de 2024 para Safari 17.5, iOS ou iPadOS 16.7.8 ou 17.5, macOS Sonoma 14.5, tvOS 17.5 ou watchOS 10.5, ou para versões mais novas, já tem a correção.

Os aparelhos que merecem atenção são os que pararam de atualizar, como um iPad antigo guardado na gaveta ou Macs de escritório mantidos numa versão antiga do macOS. Os órgãos civis federais dos EUA têm até 18 de novembro de 2026 para resolver.

Quem tem Android pode fazer uma verificação parecida com o nosso guia sobre como ver o nível do patch de segurança do Android. Para uma falha que está sendo explorada agora em redes corporativas, veja a nossa análise dos ataques ao Ivanti Connect Secure.