CVE-2024-27834 : Apple WebKit ajouté KEV CISA — urgent

Les faits

CVE-2024-27834 est une vulnérabilité critique identifiée dans WebKit, le moteur de rendu web développé par Apple et utilisé dans l ensemble de son écosystème : Safari, iOS, iPadOS, macOS, tvOS et watchOS. La faille permet à un attaquant disposant déjà d une capacité arbitraire de lecture et d écriture en mémoire de contourner le mécanisme Pointer Authentication (PAC), une protection matérielle implémentée sur les processeurs Apple Silicon. Bien que corrigée en mai 2024 dans Safari 17.5, cette vulnérabilité vient d être ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 4 novembre 2026, confirmant son exploitation active dans la nature plus de deux ans après la publication du correctif initial.

Le Pointer Authentication (PAC) est un mécanisme de sécurité introduit avec l architecture ARM v8.3 et implémenté dans les puces Apple A12 Bionic et postérieures. Il signe cryptographiquement les pointeurs — c est-à-dire les adresses mémoire — à l aide d une clé secrète stockée dans le processeur, rendant leur falsification extrêmement difficile même pour un attaquant contrôlant partiellement la mémoire du processus cible. PAC constitue une défense en profondeur critique contre les attaques de type Return-Oriented Programming (ROP) et Jump-Oriented Programming (JOP), techniques employées dans les exploits modernes pour contourner ASLR et DEP. CVE-2024-27834 permet précisément de neutraliser cette protection, transformant une capacité de lecture/écriture mémoire — obtenue via une première vulnérabilité — en exécution de code arbitraire complète.

La vulnérabilité a été découverte par le chercheur en sécurité Manfred Paul (alias @_manfp), travaillant en collaboration avec le programme Zero Day Initiative (ZDI) de Trend Micro. La découverte a été signalée de manière responsable à Apple, qui a publié un correctif dans le cadre de la mise à jour Safari 17.5 du 13 mai 2024. Le correctif est décrit techniquement par Apple comme une amélioration des vérifications internes (« improved checks »), référencé sous le bug WebKit numéro 272750. Aucun détail technique supplémentaire sur le vecteur exact n a été divulgué au moment de la publication du correctif, conformément à la politique d Apple de limiter la surface d information disponible pour les attaquants pendant la fenêtre de mise à jour.

L ajout de CVE-2024-27834 au catalogue KEV de la CISA le 4 novembre 2026 — plus de deux ans après la publication du correctif initial — est un événement particulièrement significatif. Il confirme que des acteurs malveillants exploitent activement cette faille, probablement dans le cadre de chaînes d exploitation multicouches ciblant des appareils Apple non à jour. La CISA a fixé la date limite de remédiation au 6 novembre 2026, dans le cadre de la directive opérationnelle contraignante BOD 26-04, qui oblige les agences fédérales américaines à corriger les vulnérabilités inscrites au catalogue KEV dans les délais impartis. Cette date correspond à la date de publication de cet article, signalant un niveau d urgence maximal pour les organisations concernées.

Le vecteur d attaque de CVE-2024-27834 se situe dans le composant WebKit, spécifiquement dans la gestion des pointeurs lors du traitement de contenu web. L exploitation requiert qu un attaquant ait préalablement obtenu une capacité arbitraire de lecture et d écriture en mémoire, ce qui implique généralement l utilisation d une seconde vulnérabilité — un exploit en chaîne. Ce type de stratégie est caractéristique des campagnes de spyware commercial et des acteurs APT qui enchaînent plusieurs CVE pour obtenir une compromission complète sans interaction de l utilisateur (zéro clic) ou avec une interaction minimale (un clic via un lien piégé).

L exploitation active confirmée par la CISA en novembre 2026 s inscrit dans un contexte préoccupant : plusieurs acteurs APT connus pour cibler les appareils Apple — dont des opérateurs de spyware commercial actifs en Europe et au Moyen-Orient — disposent de chaînes d exploitation WebKit maintenues à jour. La durée entre la publication du correctif (mai 2024) et l ajout au KEV (novembre 2026) suggère que certains acteurs ont exploité cette faille pendant une période prolongée, soit parce qu ils ciblaient des organisations avec des cycles de mise à jour lents, soit parce que l exploitation a été découverte tardivement lors d analyses forensiques d incidents.

Du point de vue de la conformité, l inscription au catalogue KEV de la CISA est un signal fort que les équipes SOC, les RSSI et les responsables SSI doivent traiter avec la même priorité qu un bulletin de sécurité Microsoft ou un advisory de l ANSSI/CERT-FR. Les organisations soumises à des référentiels de conformité tels que SOC 2, ISO 27001 ou NIS2 ont l obligation de remédier aux vulnérabilités critiques activement exploitées dans des délais contraints. L absence de patch sur un appareil Apple dont il est confirmé qu il navigue sur Internet constitue, à partir de ce jour, un risque inacceptable.

Selon les données NVD/NIST, CVE-2024-27834 est classifiée en tant que vulnérabilité d authentification impropre (CWE-287), avec un impact sur l intégrité des mécanismes de contrôle d accès matériels. L analyse des advisories Apple indique que la faille affecte le sous-composant WebKit gérant la validation des pointeurs lors de l exécution JavaScript via le moteur JSC (JavaScriptCore). Sur iOS, en raison de la politique d Apple obligeant tous les navigateurs tiers à utiliser WebKit, Chrome, Firefox, Brave et tout autre navigateur sont également concernés, même si leur moteur JavaScript natif (V8, SpiderMonkey) n est pas directement touché.

Impact et exposition

L impact de CVE-2024-27834 est d abord indirect mais potentiellement dévastateur dans le cadre d un exploit enchaîné. En neutralisant PAC, un attaquant peut transformer une corruption mémoire limitée en exécution de code arbitraire avec les privilèges du processus WebKit, puis, via une élévation de privilèges supplémentaire, compromettre l intégralité du système. Ce modèle d exploitation est celui utilisé par les opérateurs de spyware ciblant les journalistes, activistes, dirigeants d entreprise et responsables gouvernementaux.

La surface d attaque englobe tous les appareils Apple exécutant une version de WebKit antérieure à celle fournie avec Safari 17.5 / iOS 17.5. Sur iOS et iPadOS, toutes les applications utilisant WKWebView — y compris les navigateurs tiers comme Chrome, Firefox, Brave et Edge sur iOS — sont potentiellement affectées, car Apple impose l utilisation de WebKit à l ensemble des applications de navigation web sur sa plateforme mobile. Sur macOS, Safari et toute application embarquant WebKit dans une WebView sont concernées.

L exposition est particulièrement préoccupante pour les environnements macOS Monterey et macOS Ventura, dont les cycles de mise à jour sont moins fréquents en contexte d entreprise. Les flottes d appareils Apple gérées par MDM qui n ont pas déployé les mises à jour de mai 2024 sont les plus exposées. Les environnements BYOD, où les utilisateurs contrôlent leur propre cycle de mise à jour, présentent un risque particulièrement élevé. L ajout tardif au KEV (2+ ans après correction) renforce la probabilité que de nombreux appareils en production restent encore non patchés aujourd hui.

La criticité est amplifiée par le fait que PAC est précisément l une des dernières défenses matérielles contre les exploits avancés sur Apple Silicon. Son contournement opère un déclassement sécuritaire des appareils M-series, qui jouissent d une réputation de robustesse supérieure aux plateformes x86. Des acteurs disposant de ressources suffisantes peuvent donc cibler des appareils Apple considérés comme « sécurisés » par leurs utilisateurs.

Recommandations immédiates

• Mettre à jour immédiatement vers Safari 17.5 sur macOS Monterey et Ventura — advisory : Apple Security Advisory SA-2024-05-13-1
• Appliquer iOS 17.5, iPadOS 17.5, tvOS 17.5, watchOS 10.5 sur l ensemble des appareils Apple gérés
• Sur macOS Sonoma : appliquer macOS 14.5 via Réglages Système → Général → Mise à jour de logiciels
• Inventorier les appareils iOS/iPadOS via console MDM (Jamf, Kandji, Mosyle) et forcer la mise à jour des terminaux en version 17.4 ou antérieure
• Mitigation immédiate si mise à jour impossible : restreindre l accès aux ressources sensibles depuis les appareils Apple non à jour
• Vérifier les logs proxy pour des redirections HTTP inattendues ou des iframes non sollicitées