A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA, sigla em inglês para Cybersecurity and Infrastructure Security Agency) incluiu na quarta-feira uma falha de segurança de gravidade média, que afeta vários sistemas operacionais da Apple, no seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, sigla em inglês para Known Exploited Vulnerabilities), após relatos de exploração ativa.
A vulnerabilidade em questão é CVE-2024-27834 (CVE é a sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns; pontuação CVSS, sigla de Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns: 5,5). Trata-se de um caso de autenticação inadequada que poderia permitir a um atacante com capacidade arbitrária de leitura e escrita contornar a Pointer Authentication (autenticação de ponteiros).
A correção foi feita pela Apple em maio de 2024, com verificações aprimoradas no iOS 16.7.8 e no iPadOS 16.7.8, no iOS 17.5 e no iPadOS 17.5, no macOS Sonoma 14.5, no tvOS 17.5, no watchOS 10.5 e no Safari 17.5. A vulnerabilidade foi demonstrada como falha de dia zero (zero-day) no concurso de hackers Pwn2Own Vancouver, realizado em março daquele ano.
Exploração em ataques
A inclusão da CVE-2024-27834 no catálogo KEV segue um relatório da Sekoia, segundo o qual agentes de ameaças possivelmente ligados à Rússia exploraram vulnerabilidades já corrigidas no Safari e no Google Chrome para distribuir malware capaz de coletar dados do navegador e do dispositivo.
A atividade foi atribuída ao APT29 (sigla de Advanced Persistent Threat, ou ameaça persistente avançada), também conhecido como Cozy Bear e Midnight Blizzard, um grupo de hackers patrocinado por Estados e ligado ao Serviço de Inteligência Estrangeira da Rússia, com “moderado a alto grau de confiança”.
Os ataques envolvem três vias iniciais de acesso: sites legítimos comprometidos, sites falsos que se passam por sites populares e um ataque à cadeia de suprimentos voltado ao Plerdy SEO Tracker. Por meio delas, são entregues códigos JavaScript maliciosos que acionam a vulnerabilidade e, por fim, instalam a carga de roubo de informações depois de traçar o perfil do dispositivo do visitante.
A cadeia de exploração sem clique (zero-click) combina a CVE-2025-43529, uma falha de execução remota de código no WebKit, e a CVE-2025-43529, um contorno dos códigos de autenticação de ponteiros (PACs, sigla de pointer authentication codes), para executar um payload em JavaScript projetado para o roubo de cookies do navegador.
Diante da exploração ativa, recomenda-se que as Agências Civis do Poder Executivo Federal (FCEB, sigla em inglês para Federal Civilian Executive Branch) apliquem as correções necessárias até 18 de novembro de 2026.
