Kerngegevens
- Leverancier
- Apple
- Product
- macOS
- Soort software
- besturingssysteem
- Getroffen versies
- macOS ouder dan Golden Gate 27 (Apple noemt alleen Golden Gate)
- Oplossing
- Update beschikbaar
- CVE gepubliceerd
- 26 oktober 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In macOS ouder dan Golden Gate 27 zat een fout in de controle van bestandspaden (path traversal); Apple loste die op in macOS Golden Gate 27. Daardoor kon een app mogelijk uit zijn sandbox breken. De sandbox is de beveiligde omgeving die een app normaal gesproken afschermt van de rest van het systeem.
Wie loopt risico?
Gebruik je macOS Golden Gate 27 of nieuwer, dan ben je beschermd. Het advies van Apple noemt alleen macOS Golden Gate; voor macOS Tahoe en Sequoia staat er geen update bij en zegt Apple niet of ze getroffen zijn. Een aanvaller moet eerst een app op je computer kunnen laten draaien, want de aanvalsroute is lokaal. Er staat geen melding in de gegevens dat het lek actief wordt misbruikt, en er is geen publiek exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| macOS Golden GateInstalleren via Software-update | 27 | Apple-artikel 149035 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je macOS-versie
Open het Apple-menu en kies Over deze Mac. Draai je macOS Golden Gate 27 of nieuwer, dan is dit lek bij jou al opgelost.
Overweeg macOS Golden Gate
Gebruik je nog macOS Tahoe of Sequoia, houd dan de software-updates bij. Apple noemt voor deze versies geen aparte oplossing voor dit lek; overstappen op Golden Gate is de zekerste route, als je Mac dat ondersteunt.
Wees voorzichtig met nieuwe apps
Installeer alleen apps uit bronnen die je vertrouwt. Een aanvaller heeft namelijk eerst een app op je Mac nodig.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22): onvoldoende validatie van bestandspaden. Een app kan hierdoor bestanden of locaties buiten de eigen sandbox bereiken. De CVSS-vector (3.1) geeft aan: lokale aanvalsroute, lage complexiteit, geen vereiste rechten en geen gebruikersinteractie. De scope verandert (S:C), want de impact reikt voorbij de sandbox. Vertrouwelijkheid en integriteit worden sterk geraakt, beschikbaarheid niet. Apple heeft de padvalidatie verbeterd in macOS Golden Gate 27, de eerste versie van september 2026. Het advies noemt geen updates voor macOS Tahoe of Sequoia; Apple zegt niet of die versies getroffen zijn. Apple geeft zelf geen CVSS-score; de 9,0 komt uit het CVE-record.
CVSS-vector (versie 3.1, basisscore 9,0, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-22 · Padtraversal (onjuiste beperking van een pad tot een afgeschermde map)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee