CISA añade CVE-2024-27834 de Apple al catálogo KEV
CISA añadió el CVE de Apple al KEV el 4 de noviembre con plazo federal al 18. Apple ya había corregido el bypass de Pointer Authentication en Safari 17.5 en 2024.
Una entrada nueva para un fallo antiguo
CISA incorporó CVE-2024-27834 al catálogo KEV el 4 de noviembre de 2026. La entrada fija el 18 de noviembre como fecha límite y describe productos Apple —iOS, iPadOS, macOS, Safari, tvOS y watchOS— con un bypass de autenticación de punteros. La fecha de hoy no significa que el fallo se haya descubierto ahora: Apple publicó correcciones para Safari y sus plataformas en 2024.
El detalle técnico cambia bastante cómo se debe leer el aviso. Apple explica que un atacante con capacidad previa de lectura y escritura arbitraria podría eludir Pointer Authentication, una protección que dificulta manipular punteros en memoria. El CVE no dice que una página web cualquiera consiga por sí sola esa capacidad ni que el bypass sea el primer paso de una intrusión. Confundir la mitigación que se esquiva con la condición que el atacante necesita convierte una noticia importante en un titular falso.
La página de seguridad de Safari 17.5, publicada el 13 de mayo de 2024, incluye esta CVE y la corrección mediante comprobaciones adicionales. Ese release se ofrece para macOS Monterey y Ventura. El registro de CISA agrupa productos Apple adicionales y enlaza avisos separados; por eso el parche de Safari no debe usarse como sustituto de comprobar la versión de iOS, iPadOS, macOS, tvOS o watchOS que lleve cada activo.
-InfraCrew dice: un bypass de una mitigación es relevante; no es lo mismo que conseguir el acceso inicial que la mitigación intentaba complicar.-
Qué significa el plazo de CISA
La ficha del KEV asigna dateAdded: 2026-11-04 y dueDate: 2026-11-18. Su acción requerida pide aplicar las mitigaciones del fabricante y seguir la BOD 26-04. El plazo de la directiva obliga a las agencias federales cubiertas por ese mandato; no crea por sí solo un deadline legal universal para cada empresa que gestione iPhones o Macs. Para el resto, la inclusión es una señal fuerte para revisar exposición y priorizar equipos sin corregir.
CISA marca como Unknown el campo de uso en campañas de ransomware. Eso no contradice la entrada en KEV: indica que el catálogo no dispone de una respuesta conocida sobre ransomware, no que el fallo nunca se haya explotado. El registro confirma su inclusión en el catálogo de vulnerabilidades explotadas conocidas, pero no identifica una campaña concreta ni afirma que el abuso siga activo hoy.
-InfraCrew dice: la columna Unknown no es un «no»; los campos de inventario son malos sitios para completar huecos con optimismo.-
Para los equipos que administran una flota mixta, la acción útil es localizar qué dispositivos y versiones están presentes, no mandar un recordatorio genérico de «actualizad Apple». La entrada cubre varias familias y el parche se entrega mediante actualizaciones distintas; MDM debería registrar modelo, sistema, versión y estado de instalación. Safari 17.5 es una referencia histórica concreta, mientras que cada versión de sistema debe contrastarse con su propio aviso de Apple.
Para flotas con gestión diferida, el orden no debería basarse solo en cuota de mercado ni en el número de alertas. El dato accionable es la combinación de modelo, sistema, build y estado de actualización: permite distinguir una instalación corregida de otra antigua y definir qué grupo falta. Si un activo quedó fuera de MDM, su ausencia del reporte no demuestra ausencia del riesgo; hay que reconciliarlo con el inventario y las altas de dispositivos.
También conviene separar dos tiempos: la corrección disponible desde 2024 y la prioridad operativa elevada en 2026 por la incorporación a KEV. La nueva fecha sirve para ordenar trabajo y, en el ámbito federal afectado, para medir cumplimiento. No es evidencia de que Apple haya publicado un parche nuevo esta semana, ni permite etiquetar como vulnerable un dispositivo que ya recibió la corrección correspondiente.
-InfraCrew dice: el MDM que solo responde «cumple» ahorra una columna y suele regalar tres horas de auditoría.-
Diccionario de la Crew
KEV — Catálogo de CISA de vulnerabilidades que sabe que se han explotado; su inclusión ayuda a ordenar la corrección, pero no describe por sí sola campañas actuales.
Pointer Authentication — Protección de hardware y software que añade una firma a ciertos punteros para detectar manipulación; en esta CVE, el atacante necesitaría ya capacidades de lectura y escritura para intentar eludirla.
BOD 26-04 — Directiva operativa vinculante de CISA para las agencias federales dentro de su ámbito; el plazo de la ficha no se convierte automáticamente en una obligación universal para empresas privadas.
MDM — Gestión centralizada de dispositivos móviles; permite inventariar el hardware, el sistema y el estado de sus actualizaciones.
