CVE-2024-27834 WebKit PAC bypass — CISA KEV 04.11.2026

Суть#

WebKit: improper authentication, обход Pointer Authentication при уже имеющейся arbitrary read/write. Формулировка Apple дословно про R/W → PAC bypass. Это mid-chain примитив, не заявлять «remote one-click RCE» только по этой CVE. CVSS 3.1 5.5 (NVD). Отбор: CISA KEV 04.11.2026 + массовый Apple, не высокий CVSS.

Затронуто и исправлено#

Всё, что ниже таблицы и ещё на поддержке — обновить. Ветки новее мая 2024 (18/19/…) при штатных OTA уже содержат фикс — сверять build/version, не дату покупки.

Эксплуатация#

• CISA KEV: added 2026-11-04, due 2026-11-18, ransomware Unknown.
• ENISA EUVD / CISA SSVC (NVD) тоже отмечают эксплуатацию.
• EPSS ~0.6% — не ориентир при KEV.
• Вторично: n-day цепочки на устаревших устройствах через watering-hole; детали кампаний и чужие write-up не ссылаем (риск PoC / запрет по региону источников).
• Масштаб жертв — неизвестно.

Как проверить#

# iOS/iPadOS
Настройки → Основные → Об этом устройстве → версия ПО
# нужно ≥ 17.5 или на 16.x ≥ 16.7.8

# macOS Sonoma+
 → Об этом Mac → версия ≥ 14.5
# или: sw_vers -productVersion

# macOS Monterey / Ventura — смотреть Safari, не major OS
Safari → О программе Safari ≥ 17.5

# watchOS / tvOS
приложение Watch → Основные → Обновление ПО ≥ 10.5
Apple TV → Настройки → Система → Обновления ПО ≥ 17.5

MDM/inventory: ProductVersion / BuildVersion; на Monterey/Ventura отдельно версия Safari. Флаг «ниже порога мая 2024». Сравнение semver: 16.7.7 < 16.7.8; 17.4.1 < 17.5; 14.4.1 < 14.5.

Как исправить#

1. Перед OTA: заряд, Wi‑Fi, желательно свежий бэкап (Time Machine / iCloud). iOS/iPadOS «Обновление ПО»; macOS «Системные настройки → Основные → Обновление ПО» (+ Safari на Monterey/Ventura); watch через iPhone; tvOS — Настройки → Система → Обновления ПО.
2. Supervised/MDM: форсировать available update; проверить deferral / enforcedSoftwareUpdateDelay и политики «заморозить» major — они не отменяют Safari OTA на Monterey/Ventura. Критерий закрытия — inventory ≥ таблицы, не флаг «update installed». First-party Apple: ждать OEM-сборки не нужно; риск — свой pin/freeze и unmanaged BYOD.
3. После OTA — повторная сверка версии через 24–48 ч по отчёту MDM. Отстающие — вручную / план replace EOL.
4. Автообновление: на iOS проверить, что не выключено; на Mac — Safari и ОС.

Если обновить нельзя#

EOL / нет OTA: официального workaround в бюллетене Apple нет. Снижение экспозиции (меньше браузинга с устройства) — паллиатив. План замены. Jailbreak/неофициальные IPSW — не предлагать.

Признаки взлома и что делать#

Индикаторов от Apple по CVE нет. При подозрении на успешную цепочку: одного OTA мало — ротация паролей/сессий Apple ID и банков, проверка устройств в Apple ID, при необходимости DFU/restore с заранее снятым бэкапом (не в облако с уже скомпрометированного).

Источники#

• https://support.apple.com/en-us/120896
• https://support.apple.com/en-us/HT214101
• https://support.apple.com/en-us/120898
• https://support.apple.com/en-us/HT214106
• https://support.apple.com/en-us/120901
• https://support.apple.com/en-us/120902

CISA KEV: added 2026-11-04, due 2026-11-18 — фактом без URL. Реестры NVD/CVE.org и каталог CISA KEV — номерами/датами без ссылок.