Kerngegevens
- Leverancier
- Apple
- Soort software
- besturingssysteem
- Getroffen versies
- Safari versies vóór 27
- iOS en iPadOS versies vóór 27
- macOS versies vóór Golden Gate 27
- visionOS versies vóór 27
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Safari 27
- iOS en iPadOS 27
- macOS Golden Gate 27
- visionOS 27
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Safari en de besturingssystemen van Apple zit een fout waarbij het systeem een stuk gegevens als het verkeerde type behandelt (typeverwarring). Een speciaal opgemaakte webpagina kan hierdoor willekeurige code laten uitvoeren op het apparaat. Apple heeft dit opgelost door de toestand van het geheugen beter bij te houden.
Wie loopt risico?
Je loopt risico als je Safari gebruikt, of een iPhone, iPad, Mac of Apple Vision Pro met visionOS die nog niet is bijgewerkt naar versie 27. Een aanvaller moet je zover krijgen dat je een kwaadaardige webpagina opent, bijvoorbeeld via een link. Er staat geen melding van actief misbruik in de gegevens.
Wat moet je doen?
Werk Safari en je besturingssysteem bij
Installeer Safari 27 en de update naar versie 27 van je besturingssysteem: iOS 27, iPadOS 27, macOS Golden Gate 27 of visionOS 27.
Controleer of de update is geïnstalleerd
Open de instellingen van je apparaat, ga naar Software-update en kijk of je op versie 27 zit. Op een Mac vind je dit onder Systeeminstellingen.
Wees voorzichtig tot je bent bijgewerkt
Open geen links uit onverwachte berichten of van onbekende afzenders zolang je apparaat nog niet is bijgewerkt.
Lees het advies van Apple
Op de beveiligingspagina's van Apple staan de details per product, zodat je kunt nagaan welke update bij jouw apparaat hoort.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een typeverwarring (CWE-843) in de verwerking van webcontent. Hierbij wordt een resource gebruikt met een ander type dan waarmee die is aangemaakt, waardoor het geheugen verkeerd wordt geïnterpreteerd. Een aanvaller kan dit uitbuiten met speciaal gemaakte webinhoud en zo willekeurige code uitvoeren. De aanval verloopt via het netwerk, is niet complex, vereist geen inloggegevens en wel een handeling van de gebruiker, zoals het openen van een pagina. Apple heeft de fout verholpen met verbeterd statusbeheer in Safari 27, iOS 27, iPadOS 27, macOS 27 en visionOS 27.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-843 · Toegang tot een resource met een onjuist type (typeverwarring)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee