ARTICLE ORIGINAL MAG212 CYBER

La CISA ajoute la vulnérabilité Apple CVE-2024-27834 à sa base de données KEV : contournement de l’authentification par pointeur dans la chaîne d’exploitation d’iPhone d’APT29

5 novembre 2026 · El Mostafa Ouchen

Le 4 novembre 2026, la CISA a ajouté une faille d'Apple vieille de deux ans et demi., CVE-2024-27834, Apple a ajouté une nouvelle vulnérabilité à son catalogue de vulnérabilités exploitées connues (KEV). Il s'agissait du seul ajout ce jour-là. Cette faille, un bug de WebKit, permet à un attaquant ayant déjà obtenu un accès en lecture et en écriture à la mémoire de contourner l'authentification par pointeur, l'une des principales défenses de l'iPhone contre l'exploitation de vulnérabilités. Apple l'a corrigée en mai 2024.

Cette inscription complète le tableau. Le même jour, la société de sécurité Sekoia a publié une étude attribuant une campagne de points d'eau mobiles au groupe russe APT29 (traité en détail iciLa vulnérabilité CVE-2024-27834, qui contourne l'authentification par pointeur, est présente dans l'une des chaînes d'exploitation de l'iPhone. C'était la seule faille de ces chaînes qui n'était pas encore répertoriée dans KEV. Le message pratique est celui de Sekoia : chaque exploit de cette campagne cible des failles déjà corrigées ; un appareil fonctionnant sous un système d'exploitation récent est donc protégé.

Comment nous étiquetons les allégations : Confirmé = indiqué par le fournisseur, un enregistrement CVE ou un organisme gouvernemental ; Signalé = déclaré par un chercheur ou un média nommé ; Analyse MAG212 = notre évaluation ; Inconnu Aucune source consultée ne le mentionne. Mise à jour le 5 novembre 2026. Par El Mostafa Ouchen.

Faits clés

Article	Détail	Statut
Liste KEV	CVE-2024-27834 ajouté le 4 novembre 2026 ; date limite fédérale : 18 novembre 2026	Confirmé (données CISA KEV)
Qu'est-ce que c'est	Faille de WebKit : un attaquant disposant de droits de lecture et d’écriture arbitraires peut contourner l’authentification par pointeur.	Confirmé (Apple)
Gravité	CVSS 3.1 5.5 (score de la CISA ; Apple n'a publié aucun score)	Confirmé (enregistrement CVE)
Fixé	13 mai 2024 : iOS et iPadOS 17.5 et 16.7.8 (la version 16.7.8 a été ajoutée le 10 juin 2024), Safari 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5	Confirmé (Apple)
Découvert par	Manfred Paul, en collaboration avec l'initiative Zero Day de Trend Micro ; utilisé lors de Pwn2Own Vancouver 2024	Confirmé (crédit Apple) ; lien Pwn2Own signalé
Exploité par	APT29, selon Sekoia, avec un niveau de confiance modéré à élevé	Signalé (Sekoia)
Utilisation de ransomware	Inconnu, selon la CISA	Confirmé (données CISA KEV)

Pourquoi un bug de gravité moyenne est important

Un score de 5,5 semble modeste, et prise isolément, la faille est peu exploitable. Elle nécessite un attaquant ayant déjà un accès en lecture et en écriture à la mémoire. Or, les iPhones modernes signent les pointeurs critiques au niveau matériel à l'aide de codes d'authentification de pointeur (PAC). Même un attaquant capable d'écrire en mémoire ne peut pas simplement écraser un pointeur pour rediriger le programme sans signature valide. Un contournement du PAC supprime cette barrière, ce qui explique son importance dans les chaînes d'exploitation. Combiné à une faille du navigateur permettant l'accès à la mémoire, il transforme un plantage en exécution de code.

Cette faille est connue du public. Lors de la conférence Pwn2Own Vancouver en mars 2024, Manfred Paul a compromis Safari en exploitant un dépassement de capacité négatif d'entier et une faille de contournement PAC. Apple lui attribue la CVE-2024-27834 via la Zero Day Initiative, et BleepingComputer l'a identifiée comme la faille en cause lors du déploiement du correctif par Apple en mai 2024. Statut : Exploitation Pwn2Own confirmée (ZDI) ; lien CVE signalé (BleepingComputer).

Comment cela s'inscrit dans la campagne APT29

Le rapport de Sekoia, intitulé “ Source empoisonnée ”, décrit des attaques par point d'eau : des sites web légitimes ont été compromis, ou des sites similaires ont été créés, afin de diffuser des exploits sur les téléphones des visiteurs. Parmi ces sites figuraient une entreprise gazière ukrainienne, une association professionnelle américaine du secteur chimique, ainsi que des sites politiques européens et des sites liés à l'armée bulgare. La compromission de la chaîne d'approvisionnement d'un script de suivi SEO, Plerdy SEO Tracker, a permis la propagation du code malveillant entre le 27 août et le 3 septembre 2026. Sekoia attribue cette campagne à APT29, ou au moins à l'un de ses sous-groupes, avec un degré de certitude modéré à élevé.

Sekoia décrit trois chaînes d'exploitation :

Chaîne	Cible	vulnérabilités	Charge utile
Classe A	iOS 16.7 (Sekoia indique que cela devrait fonctionner sur les versions 16.0 à 17.4)	CVE-2025-43529 (exécution de code WebKit), puis CVE-2024-27834 (contournement PAC)	voleur de biscuits
Classe B	iOS 18.5	CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520	Collecteur de données complet
Classe C	Chrome 139–145 (sauf 143) sur Android	CVE-2026-3910 (moteur de rendu), CVE-2025-27038 (pilote GPU Adreno)	Charge utile Android (voir rapport Sekoia)

Toutes les autres CVE de ces chaînes figuraient déjà dans le catalogue KEV de la CISA, certaines depuis 2025. La CVE-2024-27834 était la pièce manquante, et elle est maintenant répertoriée. Statut : chaînes signalées (Sekoia) ; dates KEV confirmées (données KEV de la CISA).

Sekoia signale que le serveur de distribution de classe A a filtré pour iOS 16.7 et 16.7.10. Analyse MAG212 : Apple a corrigé cette faille dans iOS 16.7.8, ce qui rend le but de ce filtre incertain. Ne présumez pas qu'un appareil sous iOS 16.7 soit totalement à l'abri de cette campagne. Installez la dernière version compatible avec votre appareil.

Qui doit agir

Conformément à la directive de la CISA, les agences civiles fédérales américaines doivent remédier à la situation d'ici le 18 novembre 2026. Pour tous les autres, KEV est un signal fort d'une utilisation concrète. Analyse MAG212 : Les appareils vulnérables sont ceux qui n'ont plus été mis à jour, généralement les anciens iPhone et iPad fonctionnant sous iOS 16 ou une version antérieure d'iOS 17, les appareils partagés n'appartenant à personne et les téléphones dont les mises à jour ont été reportées. Ces attaques sont perpétrées via des sites web d'apparence anodine ; par conséquent, même les personnes qui ne cliquent jamais sur un lien suspect peuvent être exposées.

Que faire, dans l'ordre

Définir une version minimale du système d'exploitation dans votre MDM pour iOS, iPadOS et macOS, et bloquez ou limitez l'accès à la messagerie et aux applications d'entreprise pour les appareils inférieurs.
Mettez à jour vers la dernière version prise en charge par chaque appareil. iOS 17.5 ou iOS 16.7.8 corrigent cette CVE, mais les autres bugs de la chaîne nécessitent des versions ultérieures, donc la version “ actuelle ” est l'objectif.
Remplacez les appareils qui ne peuvent pas exécuter un système d'exploitation pris en charge. Les appareils bloqués sous iOS 16 sont ceux pour lesquels la chaîne de classe A de Sekoia est conçue.
N'oubliez pas Safari sur les anciens Mac. (Safari 17.5 ou version ultérieure sur Monterey et Ventura), Apple TV et Apple Watch.
Recherche dans les journaux DNS et proxy pour les indicateurs publiés par Sekoia, y compris static.flux-telemetry[.]com, edge-ord.clouds-stacks[.]com et ad.starx-net[.]com.
Vérifiez vos propres sites web et les sites partenaires pour les scripts chargés depuis a.plerdy[.]com pendant la période de compromission, et pour les scripts tiers dont vous n'avez plus besoin.

Comment vérifier un appareil Apple

Sur iPhone ou iPad : Paramètres, alors Général, alors À propos, et lire Version iOS. Sur un Mac, cette commande Terminal en lecture seule affiche la version de macOS (aucun droit d'administrateur requis ; non testée par MAG212) :

sw_vers -productVersion

Dans les consoles MDM, filtrez l'inventaire des appareils par version du système d'exploitation inférieure à votre minimum requis pour trouver les appareils retardataires.

Foire aux questions

Mon iPhone à jour est-il en danger ?

D'après Sekoia, cela ne provient pas de cette campagne : les trois chaînes utilisent des vulnérabilités qui ont déjà été corrigées.

Pourquoi un bug de 2024 est-il listé maintenant ?

KEV recense les failles une fois l'exploitation avérée. La CISA ne précise pas les preuves utilisées, mais ce recensement a été effectué le même jour que le rapport de Sekoia, cité comme référence dans ses archives.

Est-ce la même chose que les attaques de points d'eau en Mongolie en 2024 ?

Non. Le groupe d'analyse des menaces de Google a signalé une campagne distincte de type « watering hole » liée à APT29 contre des sites mongols en 2024. Sekoia compare les deux et suggère que les exploits dans les deux cas pourraient provenir de tiers.

Lire le numéro complet du MAG212 CYBER Daily d'aujourd'hui (gratuit) →

Abonnez-vous gratuitement