APT29 et CVE-2024-27834 : Apple WebKit ajouté au KEV CISA

Une faille patchée en 2024, exploitée activement en 2026

Le 4 novembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) américaine a ajouté CVE-2024-27834 à son catalogue Known Exploited Vulnerabilities (KEV). Cette inscription confirme ce que les chercheurs de Sekoia suspectaient depuis plusieurs semaines : la vulnérabilité, pourtant corrigée par Apple dès mai 2024, fait l'objet d'une exploitation active dans des campagnes d'espionnage ciblées.

CVE-2024-27834 est une vulnérabilité de contournement de l'authentification par pointeurs (Pointer Authentication Codes — PAC) dans le moteur WebKit d'Apple. Elle a été découverte et présentée en mars 2024 par le chercheur Manfred Paul lors du concours Pwn2Own Vancouver, en collaboration avec le Zero Day Initiative de Trend Micro. Dans ce contexte de recherche, la faille avait déjà permis de démontrer une exploitation fiable sur des appareils iOS. Apple l'avait corrigée dans iOS 17.5 et macOS Sonoma 14.5. Le CVSS 3.1 officiel est de 5,5 (Medium), mais son exploitation chaînée avec d'autres vulnérabilités lui confère un impact réel bien supérieur.

L'entrée au catalogue KEV de la CISA est formulée comme suit : « Apple Multiple Products Improper Authentication Vulnerability ». Les détails publiés précisent qu'un attaquant doit déjà disposer d'un accès arbitraire en lecture et écriture pour exploiter la faille, ce qui en fait typiquement un maillon dans une chaîne d'exploitation plutôt qu'un vecteur initial autonome. La date limite imposée aux agences civiles fédérales américaines (FCEB) pour corriger leurs systèmes est le 18 novembre 2026.

Le lien avec APT29 — groupe d'espionnage lié au Service de renseignement extérieur russe (SVR) — est établi par la société française de cybersécurité Sekoia dans un rapport publié simultanément. Selon Sekoia, APT29 a compromis un service ukrainien d'analyse SEO, Plerdy SEO Tracker, et a utilisé cet accès pour injecter du code de fingerprinting malveillant destiné aux visiteurs mobiles du site. La campagne ciblait principalement des utilisateurs d'iPhones tournant sous iOS 16.7, une version antérieure au patch de mai 2024.

La chaîne d'exploitation documentée combine CVE-2025-43529 — une autre vulnérabilité WebKit — avec CVE-2024-27834 pour permettre le vol de cookies de session. Ces cookies permettent aux attaquants de se faire passer pour les victimes sur des services en ligne sans avoir à connaître leurs mots de passe. La technique est particulièrement redoutable car elle contourne les mécanismes d'authentification multifacteur (MFA) basés sur les identifiants.

La CISA a précisé dans son bulletin ne pas pouvoir confirmer publiquement l'identité des acteurs derrière l'exploitation, ni fournir d'indicateurs de compromission (IoC) pour CVE-2024-27834. Cette prudence est courante lorsque les investigations sont en cours ou que les informations sont classifiées. Les entreprises ne disposent donc pas, pour l'heure, d'empreintes réseau ou applicatives permettant de détecter rétrospectivement une exploitation sur leurs systèmes.

Le vecteur d'attaque dit watering hole — consistant à compromettre un site fréquenté par la cible plutôt qu'à l'attaquer directement — est une signature récurrente d'APT29. Le groupe avait déjà utilisé cette technique en 2016 contre des sites gouvernementaux polonais et en 2024 contre plusieurs portails diplomatiques d'Europe de l'Est. L'utilisation d'un service ukrainien d'optimisation SEO comme vecteur reflète une adaptation tactique aux contextes géopolitiques actuels.

Du côté d'Apple, les versions iOS 17.5 et ultérieures sont protégées contre CVE-2024-27834. Les appareils sous iOS 16.x — notamment les modèles plus anciens qui ne peuvent pas être mis à niveau vers iOS 17 — restent vulnérables si les correctifs de sécurité disponibles pour ces versions n'ont pas été appliqués. Apple publie des mises à jour de sécurité pour iOS 16.7.x pour les appareils incompatibles avec iOS 17.

L'espionnage mobile par watering hole : un vecteur en expansion

L'ajout de CVE-2024-27834 au catalogue KEV de la CISA illustre un phénomène préoccupant : les vulnérabilités corrigées, supposées neutralisées, restent des armes valides dans les arsenaux des groupes APT pendant des mois, voire des années. Les acteurs étatiques disposent en effet du temps et des ressources pour développer des chaînes d'exploitation stables avant de les déployer, en attendant que la vigilance des défenseurs se relâche et que le parc de terminaux non patchés reste suffisamment large pour cibler.

La technique du watering hole ciblant les mobiles est particulièrement efficace car elle exploite une réalité organisationnelle : les entreprises et administrations ont généralement des politiques de gestion des mises à jour bien plus matures sur les postes de travail que sur les smartphones personnels ou professionnels. Un smartphone sous iOS 16.7 appartenant à un cadre dirigeant ou à un diplomate peut représenter une cible de haute valeur insuffisamment surveillée par les équipes de sécurité.

Le vol de cookies de session via l'exploitation de WebKit représente une menace directe sur les accès cloud, les messageries professionnelles et les portails VPN. Dans des environnements zero trust bien configurés, des mécanismes de détection de sessions anormales (géolocalisation inhabituelle, User-Agent différent, réauthentification périodique obligatoire) peuvent limiter l'impact d'un vol de cookie. Mais ces protections ne sont pas universelles et leur déploiement reste inégal.

Pour les organisations opérant dans des secteurs sensibles — diplomatie, défense, énergie, finance — ce rapport Sekoia doit conduire à un audit immédiat de la version iOS déployée sur l'ensemble du parc mobile, y compris les appareils BYOD (Bring Your Own Device). La mise à jour vers iOS 17 ou iOS 18, lorsqu'elle est possible, doit être traitée comme une priorité de sécurité, et non comme une simple mise à jour de confort.

Ce qu'il faut retenir

• CVE-2024-27834 (Apple WebKit, PAC bypass) est activement exploité en chaîne avec CVE-2025-43529 par APT29 pour voler des cookies de session sur iOS 16.7 — mettre à jour vers iOS 17.5+ est impératif.
• Les agences fédérales américaines ont jusqu'au 18 novembre 2026 pour patcher ; les entreprises doivent auditer leur parc mobile sans attendre une deadline réglementaire.
• La technique watering hole via un site SEO ukrainien illustre l'adaptation tactique d'APT29 et la résilience des vulnérabilités patchées dans les arsenaux étatiques.