CISA confirmó la explotación activa de una falla de Apple. El 5 de noviembre de 2026 agregó CVE-2024-27834 a su catálogo Known Exploited Vulnerabilities (KEV). Es una falla de autenticación inadecuada con CVSS 5,5 que permite a un atacante con capacidad de lectura y escritura arbitraria evadir Pointer Authentication, una protección de memoria de los chips de Apple. Apple la corrigió en mayo de 2024.
Que la severidad sea media no la hace menor: los atacantes la están usando dentro de cadenas de explotación contra equipos que nunca se actualizaron. Si en tu empresa hay iPhone, iPad o Mac, la prioridad hoy es confirmar que todos estén al día.
Qué es CVE-2024-27834
- Tipo de falla: autenticación inadecuada que permite evadir Pointer Authentication (PAC).
- Requisito: el atacante necesita capacidad de lectura y escritura arbitraria, por eso suele combinarse con otra falla del navegador.
- Severidad: CVSS 5,5 (media).
- Historia: se demostró como zero-day en Pwn2Own Vancouver en marzo de 2024.
- Parche: disponible desde mayo de 2024 con verificaciones mejoradas.
Versiones corregidas
- iOS 17.5 y iPadOS 17.5 (y iOS/iPadOS 16.7.8 para equipos más antiguos).
- macOS Sonoma 14.5.
- Safari 17.5.
- tvOS 17.5 y watchOS 10.5.
Cualquier versión posterior también incluye la corrección. Lo recomendable es llevar cada equipo a la versión más reciente disponible.
Evidencia de explotación activa
- Entrada al KEV el 5 de noviembre de 2026, tras reportes de explotación activa.
- Atribución: Sekoia atribuye con confianza moderada a alta a APT29 (Cozy Bear, Midnight Blizzard), grupo vinculado al servicio de inteligencia exterior de Rusia, el uso de fallas ya parcheadas en Safari y Google Chrome para instalar malware que roba datos del navegador y del equipo.
- Vías de entrada: sitios legítimos comprometidos, sitios falsos que imitan páginas populares y un ataque a la cadena de suministro contra Plerdy SEO Tracker, que servían JavaScript malicioso.
- Objetivo: robar cookies del navegador, lo que puede dar acceso a sesiones abiertas sin necesidad de contraseña.
- Plazo de CISA: las agencias federales civiles de EE.UU. (FCEB) deben aplicar los parches antes del 18 de noviembre de 2026.
Aunque ese plazo solo obliga a agencias de EE.UU., CISA recomienda a todas las organizaciones priorizar las vulnerabilidades del KEV. Para empresas en Colombia y LATAM es una señal clara de urgencia.
Quién está en riesgo
- iPhone, iPad y Mac que no se actualizan desde mayo de 2024 o antes.
- Equipos personales que los colaboradores usan para correo, banca o aplicaciones de la empresa.
- Organizaciones sin inventario de dispositivos Apple ni control de versiones.
Qué hacer hoy: checklist
- Inventaría todos los dispositivos Apple, incluidos los personales que acceden a recursos de la empresa.
- Actualiza iPhone, iPad y Mac a la versión más reciente en Configuración (Ajustes) > General > Actualización de software, o en Configuración del sistema en Mac.
- Actualiza Safari y Chrome y reinicia el navegador para que el parche quede activo.
- Activa las actualizaciones automáticas en todos los equipos.
- Cierra sesiones y rota credenciales de servicios críticos si un equipo estuvo desactualizado y se usó para navegar, porque el malware busca cookies de sesión.
- Bloquea o retira equipos que ya no reciben actualizaciones del acceso a datos corporativos.
Cómo puede ayudarte NESS
Esta alerta muestra que un parche de hace más de dos años sigue siendo urgente si nadie verificó que se instaló. En NESS acompañamos a las empresas con inventario de activos, gestión de parches y vulnerabilidades y monitoreo de infraestructura para priorizar lo que aparece en el KEV antes de que se convierta en un incidente. Si quieres revisar tu exposición, conversemos en nesshq.com.
Preguntas frecuentes
¿Ya hay parche?
Sí. Apple lo publicó en mayo de 2024 con iOS/iPadOS 17.5, macOS Sonoma 14.5 y Safari 17.5, entre otras versiones. Las versiones más recientes también lo incluyen.
Si la severidad es media, ¿por qué es urgente?
Porque está siendo explotada. Combinada con otra falla del navegador, permite ejecutar código y robar cookies de sesión.
¿Quién está detrás?
Sekoia lo atribuye con confianza moderada a alta a APT29, un grupo vinculado a Rusia.
