Ngày 04/11/2026, CISA đưa CVE-2024-27834 của Apple vào danh sách Known Exploited Vulnerabilities (KEV), hạn xử lý cho khối liên bang Mỹ là 18/11/2026. Đây là lỗi "improper authentication" (CWE-287) trong WebKit: kẻ tấn công đã có khả năng đọc/ghi bộ nhớ tùy ý có thể vòng qua Pointer Authentication (PAC) — cơ chế phần cứng của Apple ký các con trỏ để chặn địa chỉ bộ nhớ bị sửa.

Nói rõ để khỏi hiểu sai: lỗi này chỉ là một mắt xích trong chuỗi khai thác, không phải lỗi RCE từ xa đứng một mình — kẻ tấn công phải có quyền đọc/ghi bộ nhớ trước đã. CVSS 5.5 (Medium). Lỗi từng được trình diễn dạng zero-day tại Pwn2Own Vancouver tháng 3/2024.

Apple đã vá từ 13/05/2024: Safari 17.5, iOS/iPadOS 17.5 và 16.7.8, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5. Máy nào đang chạy bản mới đều đã được bảo vệ.

Vì sao CISA liệt kê một lỗi cũ vào lúc này: cùng ngày 04/11, Sekoia công bố báo cáo "Poisoned Source" về chiến dịch watering-hole mà họ quy cho APT29 (nhóm gắn với tình báo Nga) với độ tin cậy trung bình đến cao. Chiến dịch dùng lỗi này trong chuỗi khai thác nhắm vào iOS 16.7 (chuỗi ghép CVE-2025-43529, lỗi RCE WebKit, với CVE-2024-27834) để đánh cắp cookie trình duyệt. Sekoia cho biết không chuỗi nào trong chiến dịch này hoạt động được trên máy đã cập nhật đầy đủ — nhóm phơi nhiễm là máy đã ngừng cập nhật hoặc không cập nhật được nữa.

Watering-hole nghĩa là kẻ tấn công cài bẫy trên trang web hợp pháp mà nạn nhân hay vào: trang bị hack, tên miền nhái, và cả script của dịch vụ phân tích Plerdy (Ukraine) bị đầu độc từ 27/08 đến 03/09/2026, tải trên hàng nghìn trang web.

Cần làm gì: kiểm tra Cài đặt > Cài đặt chung > Cập nhật phần mềm và lên bản mới nhất mà máy còn nhận được; với iPhone đời cũ chỉ lên được iOS 16 thì cần ít nhất 16.7.8. Đừng chủ quan vì "chỉ vào trang quen" — chính trang quen mới là bẫy trong chiến dịch này.

Lưu ý: quy kết APT29 là của Sekoia, không phải của CISA — CISA không nêu kẻ tấn công hay nạn nhân.

Nguồn:

  • CISA KEV (thêm ngày 04/11/2026, hạn 18/11/2026)
  • Sekoia "Poisoned Source" 04/11/2026
  • Apple security content 13/05/2024
  • NVD CVE-2024-27834