Kerngegevens
- Leverancier
- Apple
- Producten
- Safari, iOS en iPadOS onderdeel iOS and iPadOS alle iOS and iPadOS-lekken, macOS, visionOS
- Soort software
- besturingssysteem
- Getroffen versies
- iOS en iPadOS 27.x ouder dan 27.2
- macOS Golden Gate ouder dan 27.2
- Safari ouder dan 27.2
- visionOS ouder dan 27.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- iOS en iPadOS 27.2 Apple-artikel 149230 (opent in een nieuw venster)
- macOS Golden Gate 27.2 Apple-artikel 149521 (opent in een nieuw venster)
- Safari 27.2 Apple-artikel 149230 (opent in een nieuw venster)
- visionOS 27.2 Apple-artikel 149230 (opent in een nieuw venster)
- CVE gepubliceerd
- 26 oktober 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Door een fout in WebKit, de webengine van Safari, kan een aanvaller op afstand mogelijk ontsnappen uit de Web Content-sandbox van iOS, iPadOS, macOS Golden Gate, Safari en visionOS ouder dan 27.2; Apple heeft de kwetsbare code verwijderd in versie 27.2 (updates van 26 oktober 2026). Webpagina's draaien op Apple-apparaten in die afgeschermde omgeving, zodat code van een webpagina niet bij de rest van je apparaat kan.
Wie loopt risico?
Je loopt risico als je iOS of iPadOS 27, macOS Golden Gate, Safari of visionOS gebruikt in een versie ouder dan 27.2. Op iPhone en iPad geldt dat voor elke browser, want die gebruiken allemaal WebKit. Volgens de score is geen inlog en geen handeling van jou nodig. In de praktijk wordt zo'n sandbox-ontsnapping meestal gecombineerd met een tweede WebKit-lek. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| iOS en iPadOSInstalleren via Software-update | 27.2 | Apple-artikel 149230 (opent in een nieuw venster) | |
| macOS Golden GateInstalleren via Software-update | 27.2 | Apple-artikel 149521 (opent in een nieuw venster) | |
| SafariInstalleren via Software-update | 27.2 | Apple-artikel 149230 (opent in een nieuw venster) | |
| visionOSInstalleren via Software-update | 27.2 | Apple-artikel 149230 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk je iPhone en iPad bij
Installeer iOS of iPadOS 27.2 via Instellingen, Algemeen, Software-update.
Werk je Mac en Safari bij
Installeer macOS Golden Gate 27.2. Gebruik je een oudere macOS-versie, installeer dan Safari 27.2 als Apple die aanbiedt.
Werk visionOS bij
Installeer visionOS 27.2 als je een Apple Vision Pro gebruikt.
Controleer of de update is gelukt
Kijk in de instellingen onder Software-update of je de nieuwe versie hebt. Zo niet, installeer de update alsnog.
Dezelfde update lost meer lekken op
De Apple-updates van 26 oktober 2026 verhelpen nog veel meer lekken, waaronder CVE-2026-112690, een tweede sandbox-ontsnapping. Zie ons overzicht van de Apple-updates van oktober 2026.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in WebKit Process Model, het deel van de webengine van Apple dat webinhoud in aparte, afgeschermde processen laat draaien. Een aanvaller op afstand kan volgens Apple mogelijk uit de Web Content-sandbox ontsnappen. Apple heeft het opgelost door de kwetsbare code te verwijderen (WebKit Bugzilla 328129). Apple geeft zelf geen CVSS-score. De score van 10,0 komt van NVD (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Die is aan de hoge kant: een sandbox-ontsnapping is in de praktijk meestal de tweede stap van een aanval, nadat een aanvaller eerst via een ander WebKit-lek code in het webinhoud-proces heeft laten draaien. Er is geen CWE-classificatie opgegeven. Volgens de adviezen gaat het om iOS 27, macOS Golden Gate, Safari en visionOS; iOS 26.7.2 noemt dit lek niet.
CVSS-vector (versie 3.1, basisscore 10,0, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies