Apple WebKit açığı CISA listesine girdi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Apple cihazlarını ilgilendiren WebKit açığını 4 Kasım 2026’da bilinen istismar edilen açıklar (KEV) kataloğuna ekledi. CVE-2024-27834 kodlu açık için ABD federal kurumlarına tanınan süre 18 Kasım 2026’da doluyor. Açık yeni değil; Apple düzeltmeyi Mayıs 2024’te yayınlamıştı. Sorun, güncellemeyi almamış cihazlarda hâlâ duruyor.

CISA’nın listeye eklemesi, açığın sahada gerçek saldırılarda kullanıldığına dair kanıt görüldüğü anlamına geliyor. Ajans, istismarın hangi kampanyada tespit edildiğini ayrıntılandırmıyor. Katalogdaki kayıtta fidye yazılımı bağlantısı “bilinmiyor” olarak işaretli.

WebKit’te imza denetimini atlatmak

Açık, Safari’nin motoru WebKit içinde. Apple’ın açıklamasına göre saldırgan, cihazda zaten okuma ve yazma yetkisi elde etmişse Pointer Authentication korumasını atlayabiliyor. Pointer Authentication, Apple’ın arm64e uzantılı işlemcilerinde bellek adreslerini imzayla doğrulayan donanım destekli bir savunma; kod akışını ele geçirmeyi zorlaştırıyor. Bu savunmanın devre dışı kalması, saldırganın bir sonraki adımda kendi kodunu çalıştırmasını kolaylaştırıyor. Apple, açığı Trend Micro Zero Day Initiative ile birlikte çalışan Manfred Paul’a atfediyor.

NVD’nin CVSS 3.1 puanı 5.5, yani orta seviye. Puanın düşük kalmasının nedeni, saldırının önce cihazda okuma-yazma yetkisi gerektirmesi. Bu tür açıklar tek başına uzaktan kapı açmıyor; zincirin bir halkası olarak, hedefe yönelik saldırılarda son savunmayı aşmak için kullanılıyor.

Hangi sürümler etkilendi

Açık iOS ve iPadOS 17.5, iOS ve iPadOS 16.7.8, macOS Sonoma 14.5, Safari 17.5, tvOS 17.5 ve watchOS 10.5 sürümleriyle kapatıldı. Düzeltmeler Mayıs 2024’te dağıtıldı. O tarihten sonra güncelleme alan iPhone, iPad, Mac, Apple TV ve Apple Watch cihazlarında bu açık bulunmuyor.

Risk, güncellemeyi hiç almamış ya da uzun süredir güncellenmeyen cihazlarda. Örneğin iOS 16.7.8’in altında kalan bir iPhone veya macOS Sonoma 14.5 öncesi bir Mac hâlâ etkilenebilir. Kurum envanterlerinde eski sürümde bırakılmış test cihazları da bu gruba giriyor.

Ne yapmalı

iPhone ve iPad’de Ayarlar > Genel > Yazılım Güncelleme ekranından sürümü kontrol edin. Mac’te Elma menüsü > Sistem Ayarları > Genel > Yazılım Güncelleme yolunu izleyin; Safari güncellemesi macOS güncellemesiyle birlikte geliyor. Güncelleme desteği sona ermiş cihazlarda güncel bir tarayıcı kullanmak, WebKit üzerinden gelecek riski azaltıyor.

CISA’nın son tarihi yalnızca ABD federal kurumlarını bağlıyor. Ancak KEV’e giren bir açık, son kullanıcı için de “gerçekten istismar ediliyor” işareti. Eski sürümde kalan bir Apple cihazı varsa güncelleme bugün yapılmalı.

Kaynak: CISA KEV · NVD