CISA, 18 aylık Apple WebKit açığı CVE-2024-27834'ü aktif olarak istismar edildiği gerekçesiyle işaretledi

CISA, Mayıs 2024'te düzeltilen WebKit'teki bir Apple kimlik doğrulama açığı olan CVE-2024-27834'ü Bilinen İstismar Edilen Açıklar (Known Exploited Vulnerabilities) kataloğuna ekledi. 4 Kasım 2026 tarihli kayıt, yamalar yayımlandıktan yaklaşık on sekiz ay sonra bile bu hatanın gerçek saldırılarda kullanıldığına işaret ediyor.

Sessizce zincirlenen eski bir hata

Katalog kaydı kısa: birden fazla Apple ürününü etkileyen bir kimlik doğrulama yetersizliği açığı. dev.to'daki bir yazının açıkladığı gibi, açık WebKit içinde yer alıyor ve halihazırda rastgele bellek okuma ve yazma yeteneği kazanmış bir saldırganın, bellek bozulmasının kod çalıştırmaya dönüşmesini engellemek için tasarlanmış donanım destekli denetim mekanizması olan Pointer Authentication Codes'ı atlatmasına imkân veriyor. 5.5 olan CVSS temel puanı orta seviye olarak okunuyor ve izole haldeyken bu makul, çünkü istismar edilmesi için önce altta yatan bellek erişimini sağlayacak ayrı bir hata gerekiyor.

Apple düzeltmeleri 13 Mayıs 2024'te iOS 17.5, iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 ve Safari 17.5 ile yayımladı; iOS 16.7.8 ise daha eski donanımı kapsıyor. Şirket, Trend Micro'nun Zero Day Initiative'iyle çalışan araştırmacı Manfred Paul'e atıf yaptı ve hata, Mart 2024'te Pwn2Own Vancouver'da canlı olarak gösterilmişti.

Kaydı tetikleyen neydi

KEV'e ekleme, Sekoia'nın araştırmasının ardından geldi. Sekoia analistleri Amaury-Jacques Garcon ve Felix Aime, Ekim 2026 ortasında keşfedilen ve orta-yüksek güvenle Rusya'nın dış istihbarat servisine bağlanan APT29 grubuna atfedilen Poisoned Source adını verdikleri bir kampanyayı belgeledi. dev.to yazısında aktarıldığına göre Sekoia'nın bulgularına göre kampanya mobil istismar araçlarını üç yol üzerinden dağıtıyor:

• İhlal edilip enjekte edilmiş JavaScript yerleştirilen meşru web siteleri; reportedly bunlar arasında bir ABD kimya endüstrisi meslek birliği, aşırı sağ bir Avrupa siyasi partisi ve Bulgaristan merkezli askeri ilgili bir site bulunuyor.
• ABD, Ukrayna, Çekya ve Bulgaristan'daki öne çıkan siteleri taklit eden benzer alan adları; bunlardan biri resmi bir ABD yıldönümü kutlama sayfası gibi görünüyordu.
• Ukraynalı bir web analitiği hizmeti olan Plerdy'nin tedarik zinciri ihlali: 27 Ağustos - 3 Eylül 2026 tarihleri arasında saldırganlar, Plerdy müşterilerinin kendi sitelerine gömdüğü bir JavaScript dosyasına kötü niyetli kod yerleştirerek kampanyanın erişimini her siteyi tek tek kırmeden genişletti.

Zincirler nasıl çalışıyor

Sekoia'ya göre enjekte edilen betik her ziyaretçinin cihazını ve tarayıcısını parmak iziyle tanımlıyor, ardından dağıtım altyapısı bir istismar yolu seçiyor. İlk zincir, WebKit uzaktan kod çalıştırma açığı CVE-2025-43529'u PAC atlatma açığı CVE-2024-27834 ile eşleştirerek iOS 16.7'yi hedefliyor ve tarayıcı çerezlerini toplayan JavaScript kötü yazılımı çalıştırıyor. iOS 18.5'e yönelik ikinci zincir, Sekoia'nın DarkSword adını verdiği beş açıklı bir dizilim kullanarak çok daha geniş bir yığın çekiyor: SMS ve iMessage içeriği, posta veritabanları, WhatsApp ve Telegram verileri, iCloud Keychain kayıtları, Wi-Fi parolaları, kişiler, arama geçmişi, fotoğraflar, Sağlık, Takvim, Notlar ve iCloud Drive dosyaları. Üçüncü zincir, Android 139 ile 145 sürümlerindeki Chrome'a yöneliyor ve tarayıcı verilerini ile Wi-Fi parolalarını süzen AndroSnitch adını verdiği bir yük kuruyor; tuhaf bir şekilde, cihaz kendini Samsung Galaxy S25 Ultra olarak tanıtırsa işlemden vazgeçiyor. Sızdırılan veriler, Sekoia'nın yayımladığı bir telemetri uç noktasına gönderiliyor.

Kurbanların hiçbir şeye dokunması gerekmiyor. Bunlar su deliği (watering-hole) saldırıları: yamasız bir telefonda bulaşmış bir sayfayı açmak yeterli.

Neden önemli

Bu zincirlerdeki her açığın, kampanya sürerken zaten yaması vardı ve CVE-2024-27834 yaklaşık bir buçuk yıldır düzeltilmiş durumdaydı. Sekoia'ya göre bu, saldırının güncel ekonomisini yansıtıyor: önce ticari gözetim şirketleri tarafından inşa edilip sonra devlet aktörlerince yeniden kullanılan paketlenmiş n-day zincirleri, gelişmiş mobil istismar için gereken maliyeti ve beceriyi düşürüyor. Yeterince telefon hâlâ eski yazılım çalıştırıyorken yeni bir zero-day'e gerek yok.

Olay ayrıca şiddet puanlamanın sınırlarını gösteriyor. Yalnızca bir korumayı zayıflattığı görünen CVSS 5.5'lik bir hata triyajda atlanabilir görünebilir; ama bir uzaktan kod çalıştırma açığının arkasına yerleştirildiğinde, çöken bir tarayıcı ile çalınan kimlik bilgileri arasındaki farka dönüşüyor. CVSS hataları tek tek notlandırır; saldırganlar ise组合 halinde kullanır.

Araştırmanın kendisinin dile getirdiği iki uyarı: APT29 atfı bir değerlendirme, kanıtlanmış bir gerçek değil ve Sekoia, kampanyanın belirli yüksek değerli ziyaretçileri mi hedeflediğinin yoksa mümkün olduğunca çok yamasız cihazı mı tehlikeye attığının belirsiz olduğunu söylüyor.

Yapılması gerekenler

• iPhone, iPad, Mac ve Android cihazları güncel işletim sistemine, Chrome'u ise en son sürüme güncelleyin ve otomatik güncellemeleri etkin tutun.
• Telefonları düzenli olarak yeniden başlatın; Sekoia'ya göre bu zincirler genellikle kalıcı değil, dolayısıyla yeniden başlatma implantı bellekten temizliyor.
• Gazeteciler, aktivistler ve görevliler gibi yüksek riskli kullanıcılar Apple'ın Lockdown Mode'unu değerlendirmeli.
• Web sitesi işletmecileri üçüncü taraf analitik ve etiket betiklerini denetlemeli, çünkü Plerdy olayı ziyaretçi güvenliğinin artık tedarikçi hijyenine bağlı olduğunu gösteriyor.

ABD federal kurumlarının, CISA'nın 26-04 sayılı Binding Operational Directive'i kapsamında CVE-2024-27834'ü 18 Kasım 2026'ya kadar gidermesi gerekiyor. Herkes else için pratik son tarih, saldırganların ne zaman karar vereceğidir.