Kerngegevens
- Leverancier
- Apple
- Producten
- Safari, iOS en iPadOS onderdeel iOS and iPadOS alle iOS and iPadOS-lekken, macOS, tvOS, watchOS
- Soort software
- besturingssysteem
- Getroffen versies
- Safari ouder dan 17.5
- iOS en iPadOS ouder dan 17.5 (oudere toestellen: ouder dan 16.7.8)
- macOS Sonoma ouder dan 14.5
- tvOS ouder dan 17.5
- watchOS ouder dan 10.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Safari 17.5 Apple: Safari 17.5 (opent in een nieuw venster)
- iOS en iPadOS 17.5 Apple: iOS 17.5 en iPadOS 17.5 (opent in een nieuw venster)
- iOS en iPadOS 16.7.8 Apple: iOS 16.7.8 en iPadOS 16.7.8 (opent in een nieuw venster)
- macOS Sonoma 14.5 Apple: macOS Sonoma 14.5 (opent in een nieuw venster)
- tvOS 17.5 Apple: tvOS 17.5 (opent in een nieuw venster)
- watchOS 10.5 Apple: watchOS 10.5 (opent in een nieuw venster)
- CVE gepubliceerd
- 14 mei 2024
- Op de KEV-lijst sinds
- 4 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 5 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Dit lek in WebKit treft iOS en Safari ouder dan 17.5 en macOS Sonoma ouder dan 14.5; Apple loste het in 2024 al op in iOS 17.5, macOS 14.5 en Safari 17.5 (oudere iPhones: iOS 16.7.8). Sinds 4 november 2026 staat het op de lijst van actief misbruikte lekken. WebKit is de webengine van Safari. Een aanvaller die al met een ander lek in het geheugen kan lezen en schrijven, kan hiermee Pointer Authentication omzeilen. Dat is een beveiliging die moet voorkomen dat programmacode wordt omgeleid.
Wie loopt risico?
Alleen apparaten die sinds mei 2024 niet meer zijn bijgewerkt, lopen risico: Safari, iPhones, iPads, Macs, Apple TV's en Apple Watches met een versie ouder dan de opgeloste uitgaven. Denk aan oude toestellen die geen updates meer krijgen of die lang in een la hebben gelegen. Het lek alleen is minder direct gevaarlijk dan een lek dat op afstand te misbruiken is, maar het wordt wel actief misbruikt, waarschijnlijk in combinatie met andere lekken.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| SafariInstalleren via Software-update | 17.5 | Apple: Safari 17.5 (opent in een nieuw venster) | |
| iOS en iPadOSInstalleren via Software-update | 17.5 | Apple: iOS 17.5 en iPadOS 17.5 (opent in een nieuw venster) | |
| iOS en iPadOSVoor oudere toestellen | 16.7.8 | Apple: iOS 16.7.8 en iPadOS 16.7.8 (opent in een nieuw venster) | |
| macOS SonomaInstalleren via Software-update | 14.5 | Apple: macOS Sonoma 14.5 (opent in een nieuw venster) | |
| tvOSInstalleren via Software-update | 17.5 | Apple: tvOS 17.5 (opent in een nieuw venster) | |
| watchOSInstalleren via Software-update | 10.5 | Apple: watchOS 10.5 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Ga na of je nog oude apparaten gebruikt
Kijk welke iPhones, iPads, Macs, Apple TV's en Apple Watches je nog gebruikt en of ze sinds mei 2024 zijn bijgewerkt. Denk ook aan apparaten die weinig worden gebruikt of bij anderen in huis of op het werk staan.
Werk je apparaten bij
Installeer via Software-update minimaal iOS 17.5 (opent in een nieuw venster) (of 16.7.8 voor oudere toestellen), macOS Sonoma 14.5 (opent in een nieuw venster), Safari 17.5, tvOS 17.5 of watchOS 10.5. Een nieuwere versie is nog beter.
Staat er geen update voor je apparaat klaar?
Dan krijgt het apparaat waarschijnlijk geen updates meer en kun je het beter vervangen. Gebruik het tot die tijd niet voor gevoelige zaken zoals bankieren of werkaccounts.
Linux met WebKitGTK of WPE WebKit?
Werk die pakketten bij naar versie 2.44.2 of nieuwer via de updates van je distributie. Lees ook het Safari-advies van Apple (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in WebKit, de webengine van Safari en van alle browsers op iPhone en iPad. Door onvoldoende controles kan een aanvaller die al willekeurig in het geheugen kan lezen en schrijven, Pointer Authentication (PAC) omzeilen. PAC is een beveiliging in Apple-processors die moet voorkomen dat aanvallers de programmastroom kunnen omleiden. Het lek is in mei 2024 gemeld door Manfred Paul via het Zero Day Initiative en door Apple opgelost op 13 mei 2024. Volgens de CVSS-vector van NVD (CVSS 3.1: AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N, 5,5) is de aanvalsroute lokaal en is de impact hoog voor de integriteit. In de praktijk is zo'n PAC-omzeiling een schakel in een keten: eerst moet een ander lek de aanvaller lees- en schrijftoegang in het geheugen geven. CISA zette het lek op 4 november 2026 op de lijst van actief misbruikte lekken. Ook WebKitGTK en WPE WebKit ouder dan 2.44.2 (gebruikt op Linux) zijn getroffen.
CVSS-vector (versie 3.1, basisscore 5,5, bron: NVD)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 4 november 2026
- Deadline van CISA
- 18 november 2026
- Gebruikt door ransomwaregroepen
- Niet bekend
Bronnen
- NVDnvd.nist.gov
- Apple: Safari 17.5support.apple.com
- Apple: iOS 17.5 en iPadOS 17.5support.apple.com
- Apple: macOS Sonoma 14.5support.apple.com
- CISA KEVcisa.gov
- Safari: advies van de leveranciersupport.apple.com
- Safari: advies van de leverancier 2support.apple.com
- Safari: advies van de leverancier 3support.apple.com