Kerngegevens
- Leverancier
- Apple
- Producten
- macOS, iOS en iPadOS onderdeel iOS and iPadOS alle iOS and iPadOS-lekken, Safari
- Soort software
- besturingssysteem
- Getroffen versies
- macOS tot 13.5
- iOS and iPadOS tot 16.6, tot 15.8.7
- Safari tot 16.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- macOS 13.5 Apple-artikel 120324 (opent in een nieuw venster)
- iOS and iPadOS 16.6 Apple-artikel 120324 (opent in een nieuw venster)
- iOS and iPadOS 15.8.7 Apple-artikel 120324 (opent in een nieuw venster)
- Safari 16.6 Apple-artikel 120324 (opent in een nieuw venster)
- CVE gepubliceerd
- 5 november 2025
- Op de KEV-lijst sinds
- 5 maart 2026
- Gepubliceerd op LekkenRadar
- 28 oktober 2026
- Laatst gewijzigd bij NVD
- 28 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In macOS, iOS, iPadOS en Safari zat een fout in het geheugenbeheer (een use-after-free). Een speciaal opgestelde webpagina kan hierdoor het geheugen van het apparaat beschadigen. Het lek staat sinds maart 2026 op de lijst van actief misbruikte lekken van de Amerikaanse overheidsdienst CISA.
Wie loopt risico?
Je loopt risico als je een Mac, iPhone of iPad gebruikt met een versie van vóór de reparatie, of een Safari-versie van vóór 16.6. Een aanval verloopt via het netwerk: je moet dan wel een kwaadaardig gemaakte webpagina openen. Een account of speciale rechten zijn voor de aanvaller niet nodig. Volgens de gegevens is er ook publieke exploitcode.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| macOSInstalleren via Software-update | 13.5 | Apple-artikel 120324 (opent in een nieuw venster) | |
| iOS and iPadOSInstalleren via Software-update | 16.6 | Apple-artikel 120324 (opent in een nieuw venster) | |
| iOS and iPadOSInstalleren via Software-update | 15.8.7 | Apple-artikel 120324 (opent in een nieuw venster) | |
| SafariInstalleren via Software-update | 16.6 | Apple-artikel 120324 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je apparaten
Kijk welke Macs, iPhones en iPads je gebruikt en welke versie van macOS, iOS, iPadOS en Safari erop draait.
Werk je Mac en Safari bij
Installeer macOS Ventura 13.5 of nieuwer en Safari 16.6 of nieuwer via Systeeminstellingen, Algemeen, Software-update.
Werk je iPhone en iPad bij
Installeer iOS en iPadOS 16.6. Draait je apparaat op iOS of iPadOS 15, dan is versie 15.8.7 de opgeloste versie. Je vindt de update onder Instellingen, Algemeen, Software-update.
Beperk het risico als bijwerken niet lukt
Kun je een apparaat niet bijwerken, volg dan het advies van Apple en open er geen webpagina's van onbetrouwbare herkomst op. Overweeg het apparaat te vervangen.
Lees het advies van Apple
De beveiligingsberichten van Apple (support.apple.com, artikelen 120324, 120331 en 120338) geven per product meer details.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free (CWE-416): geheugen wordt nog gebruikt nadat het is vrijgegeven. Bij het verwerken van kwaadaardig opgestelde webcontent kan hierdoor geheugenbeschadiging ontstaan. Apple heeft dit verholpen met verbeterd geheugenbeheer. De CVSS-vector (3.1) geeft aanvalsroute netwerk, lage complexiteit, geen rechten en gebruikersinteractie aan, met hoge gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. Het lek staat sinds maart 2026 op de KEV-lijst van CISA. Publieke exploitcode is beschikbaar.
CVSS-vector (versie 3.1, basisscore 8,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 4,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 5 maart 2026
- Deadline van CISA
- 26 maart 2026
- Gebruikt door ransomwaregroepen
- Niet bekend