Kerngegevens
- Leverancier
- Apple
- Soort software
- besturingssysteem
- Getroffen versies
- Safari tot 27.2
- iOS and iPadOS tot 26.7.2, tot 27.2
- macOS tot 27.2
- visionOS tot 27.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Safari 27.2
- iOS and iPadOS 26.7.2
- iOS and iPadOS 27.2
- macOS 27.2
- visionOS 27.2
- CVE gepubliceerd
- 26 oktober 2026
- Gepubliceerd op LekkenRadar
- 27 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In meerdere Apple-producten zit een fout in het geheugenbeheer, een zogeheten use-after-free. Een kwaadwillende kan daar misbruik van maken met speciaal opgemaakte webinhoud. Als jouw apparaat zo'n pagina verwerkt, kan de aanvaller in het ergste geval eigen code laten uitvoeren. Apple heeft het geheugenbeheer verbeterd om dit op te lossen.
Wie loopt risico?
Je loopt risico als je Safari gebruikt, of een iPhone, iPad, Mac of Apple Vision Pro met visionOS die nog niet is bijgewerkt. De aanval gaat via het netwerk en vraagt een handeling van jou, bijvoorbeeld het openen van een kwaadaardige of gemanipuleerde webpagina. In de gegevens staat niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer welke apparaten je gebruikt
Ga na welke Apple-apparaten je hebt (iPhone, iPad, Mac, Apple Vision Pro) en of Safari erop staat.
Werk iOS en iPadOS bij
Installeer iOS 26.7.2 of iPadOS 26.7.2, of iOS 27.2 of iPadOS 27.2, afhankelijk van de versielijn die je gebruikt. Je vindt dit onder Instellingen, Algemeen, Software-update.
Werk macOS en Safari bij
Installeer macOS 27.2 en Safari 27.2 via Systeeminstellingen, Algemeen, Software-update.
Werk visionOS bij
Installeer visionOS 27.2 als je een Apple Vision Pro gebruikt.
Zet automatische updates aan
Met automatische updates krijg je toekomstige beveiligingsupdates sneller binnen. Lees voor details ook het advies van Apple.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-112626, CVE-2026-112637, CVE-2026-112651, CVE-2026-112655, CVE-2026-112659, CVE-2026-112688. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free (CWE-416): software gebruikt een stuk geheugen nog nadat het is vrijgegeven. Bij het verwerken van speciaal geprepareerde webinhoud kan dit leiden tot geheugencorruptie en het uitvoeren van willekeurige code. De CVSS 3.1-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) geeft score 8,8: aanval via het netwerk, lage complexiteit, geen rechten nodig, wel gebruikersinteractie, en grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De score is afkomstig van de CNA, in dit geval Apple. Apple heeft het probleem verholpen met verbeterd geheugenbeheer in Safari 27.2, iOS en iPadOS 26.7.2 en 27.2, macOS 27.2 en visionOS 27.2.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies