CVE-2024-27834: CISA nimmt aktiv ausgenutzte Apple-Lücke in KEV-Katalog auf
Veröffentlicht am: 05.11.2026 um 16:52 Uhr | Redaktion boerse-global.de
Die US-Cybersicherheitsbehörde CISA hat am 4. November 2026 die Sicherheitslücke CVE-2024-27834 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Grund für den Schritt ist eine nachgewiesene aktive Ausnutzung der Schwachstelle durch Cyberangreifer. Nutzerinnen und Nutzer von iPhones, iPads und Mac-Computern müssen die Sicherheitslücke durch Systemupdates schließen.
Technische Einstufung und behördliche Fristen
Die Schwachstelle CVE-2024-27834 betrifft nach Angaben der CISA die Betriebssysteme iOS, iPadOS, macOS, tvOS und watchOS 10.5 sowie den Webbrowser Safari. Die Ursache liegt in einer fehlerhaften Authentifizierungslogik, die Angreifern mit bereits vorhandenen Lese- und Schreibrechten eine Umgehung des Sicherheitsmechanismus Pointer Authentication (PAC) ermöglicht.
Wie aus Berichten vom 4. November 2026 hervorgeht, stuft die National Vulnerability Database (NVD) das Risiko mit einem CVSSv3.1-Basiswert von 5.5 als mittleren Schweregrad ein.
Ein abweichender Sekundärscore des Herstellers beziffert das Risiko hingegen mit 8.1. Nach Angaben von FIRST.org liegt der EPSS-Score bei 0,6 %, womit die Lücke risikoreicher eingestuft wird als 49 % aller erfassten Schwachstellen.
Für die zivilen Bundesbehörden der USA (FCEB) legte die CISA am 4. November 2026 eine verbindliche Frist fest: Die Systeme müssen bis zum 18. November 2026 mit entsprechenden Sicherheitsupdates versorgt werden.
Verknüpfung mit gezielter Spionagekampagne
Das Sicherheitsunternehmen Sekoia berichtete am 4. November 2026 über eine großangelegte Watering-Hole-Kampagne, die mit mittlerer bis hoher Zuversicht der mutmaßlich dem russischen Auslandsgeheimdienst unterstehenden Gruppe APT29 (auch als Cozy Bear oder Midnight Blizzard bekannt) zugeschrieben wird. Dabei wurden Webseitenbesucher mit veralteten iPhones und Android-Geräten automatisiert attackiert.
Sekoia stellte dabei drei Zugangswege fest: kompromittierte legitime Websites – darunter die eines ukrainischen Gasproduzenten, eines US-Chemieverbands sowie eine bulgarische Militärseite –, manipulierte Domains und ein Supply-Chain-Angriff auf den Plerdy SEO Tracker zwischen dem 27. August und dem 3. September, der vor allem Systeme in der Ukraine betraf.
Als gefälschte Adressen identifizierte Sekoia unter anderem america250[.]holiday als Reverse Proxy für america250.org anlässlich des bevorstehenden 250. Jahrestags der US-Unabhängigkeit sowie theowo[.]club als Proxy für das Raffles London OWO nahe britischen Regierungseinrichtungen.
Angesichts komplexer Spionagekampagnen ist die korrekte Konfiguration des Betriebssystems entscheidend für den Schutz privater Daten. Dieser kostenlose Ratgeber zeigt Ihnen in einer einfachen Schritt-für-Schritt-Anleitung, wie Sie Updates sicher installieren und Ihre Privatsphäre effektiv schützen. iOS-Updates leicht gemacht – jetzt gratis PDF-Ratgeber sichern
Die Kampagne setzt auf sogenannte n-day-Exploits in Zero-Click-Ketten, die ohne Interaktion oder Downloads des Nutzers ablaufen. Unter iOS 16.7 kombinierten die Angreifer CVE-2025-43529 mit der nun gelisteten Schwachstelle CVE-2024-27834, um Safari-Cookies abzugreifen.
Auf Geräten mit iOS 18.5 kam eine Kette aus CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 zum Einsatz, die unter anderem WhatsApp- und Telegram-Datenbanken, den Schlüsselbund, Standortdaten und Fotos auslas.
Auf Android-Smartphones wurden über Chrome für Android in den Versionen 139 bis 145 (mit Ausnahme von Version 143) die Lücken CVE-2026-3910 und CVE-2025-27038 gemeinsam mit dem Werkzeug AndroSnitch ausgenutzt.
Ziel des Datenabflusses war unter anderem die Umgehung von Zwei-Faktor-Authentifizierungen. Eine dauerhafte Persistenz auf den Endgeräten richtet der Exploit laut Sekoia nicht ein; zudem haben Apple und Google alle verwendeten Lücken geschlossen.
Wer sich mit der Sicherheit mobiler Betriebssysteme befasst, sollte auch die Risiken veralteter Softwareversionen kennen. Erfahren Sie in diesem kostenlosen Report, wie Sie Ihr Gerät durch gezielte Updates und fünf einfache Maßnahmen wirksam gegen den Zugriff durch Unbefugte absichern. 5 Schutzmaßnahmen für Ihr Smartphone kostenlos herunterladen
Empfehlungen zur Absicherung
Laut CISA besteht für aktuelle und vollständig gepatchte Geräte nur eine geringe Gefährdung. Die Behörde rät dazu, verfügbare Updates unverzüglich einzuspielen und automatische Update-Funktionen zu aktivieren.
In Organisationen sollte der Patch-Stand über Mobile-Device-Management-Lösungen (MDM) kontrolliert werden, wobei besonders exponierte und privilegierte Geräte Vorrang haben. Sofern Patches für Altgeräte fehlen, sollten Anwender deren Einsatz einschränken oder den Blockierungsmodus aktivieren. Ein VPN stellt laut CISA keinen Ersatz für fehlende Sicherheitspatches dar.
