أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 4 نوفمبر 2026 الثغرة CVE-2024-27834 في فهرس الثغرات المستغلة فعلياً (KEV)، وهي ثغرة في WebKit أصلحتها Apple في مايو 2024. وتسميها الوكالة في الفهرس ثغرة مصادقة غير سليمة في منتجات Apple المتعددة، وتطلب من الجهات الاتحادية الأمريكية تطبيق إجراءات الشركة المصنعة وفق التوجيه التشغيلي الملزم BOD 26-04 بحلول 18 نوفمبر 2026.
والثغرة خلل مصادقة غير سليمة (CWE-287) قد يتيح لمهاجم يملك قدرة قراءة وكتابة عشوائية في الذاكرة تجاوز آلية Pointer Authentication. ونسبت Apple الكشف عنها إلى Manfred Paul بالتعاون مع مبادرة Zero Day Initiative التابعة لـ Trend Micro.
وأصدرت Apple الإصلاح في 13 مايو 2024 ضمن iOS وiPadOS 16.7.8 وiOS وiPadOS 17.5 وSafari 17.5 وmacOS Sonoma 14.5 وtvOS 17.5 وwatchOS 10.5. وتخص نشرة iOS 16.7.8 أجهزة iPhone 8 وiPhone 8 Plus وiPhone X وiPad من الجيل الخامس وطرازين من iPad Pro. ولا تشير نشرة Apple إلى استغلال هذه الثغرة.
وفي 4 نوفمبر نشرت شركة الأمن السيبراني Sekoia تقرير Poisoned Source عن حملة اكتشفها فريقها في منتصف أكتوبر 2026، وتقول إنها تنسبها بثقة متوسطة إلى عالية إلى APT29 الروسية، وتعرف أيضاً بأسماء Midnight Blizzard وCozy Bear وThe Dukes. فيما لا يذكر سجل KEV الجهة التي استغلت الثغرة ولا تقرير Sekoia.
