Kerngegevens
- Leverancier
- Apple
- Producten
- Safari, iOS en iPadOS onderdeel iOS and iPadOS alle iOS and iPadOS-lekken, macOS, visionOS
- Soort software
- besturingssysteem
- Getroffen versies
- iOS en iPadOS ouder dan 26.7.2, en 27.x ouder dan 27.2
- macOS Golden Gate ouder dan 27.2
- Safari ouder dan 27.2
- visionOS ouder dan 27.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- iOS en iPadOS 26.7.2 Apple-artikel 149227 (opent in een nieuw venster)
- iOS en iPadOS 27.2 Apple-artikel 149227 (opent in een nieuw venster)
- macOS Golden Gate 27.2 Apple-artikel 149521 (opent in een nieuw venster)
- Safari 27.2 Apple-artikel 149227 (opent in een nieuw venster)
- visionOS 27.2 Apple-artikel 149227 (opent in een nieuw venster)
- CVE gepubliceerd
- 26 oktober 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In WebKit, de webengine van Safari, zit in iOS en iPadOS ouder dan 27.2 (en 26.7.2), macOS Golden Gate, Safari en visionOS ouder dan 27.2 een fout waarbij een gegevensobject als het verkeerde type wordt behandeld (typeverwarring); Apple loste die op in die versies, de updates van 26 oktober 2026. Een speciaal opgemaakte webpagina kan hierdoor het geheugen beschadigen.
Wie loopt risico?
Je loopt risico als je een iPhone, iPad, Mac of Apple Vision Pro gebruikt die nog niet is bijgewerkt naar de versies hieronder. Op iPhone en iPad geldt dat voor elke browser, want die gebruiken allemaal WebKit. Een aanvaller moet je eerst een kwaadaardige webpagina laten openen, bijvoorbeeld via een link. Er is geen actief misbruik bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| iOS en iPadOSInstalleren via Software-update | 26.7.2 | Apple-artikel 149227 (opent in een nieuw venster) | |
| iOS en iPadOSInstalleren via Software-update | 27.2 | Apple-artikel 149227 (opent in een nieuw venster) | |
| macOS Golden GateInstalleren via Software-update | 27.2 | Apple-artikel 149521 (opent in een nieuw venster) | |
| SafariInstalleren via Software-update | 27.2 | Apple-artikel 149227 (opent in een nieuw venster) | |
| visionOSInstalleren via Software-update | 27.2 | Apple-artikel 149227 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Update iPhone en iPad
Werk iOS en iPadOS bij naar 26.7.2 of naar 27.2. Ga hiervoor naar Instellingen, Algemeen, Software-update.
Update je Mac
Installeer macOS Golden Gate 27.2 via Systeeminstellingen, Algemeen, Software-update. Gebruik je een oudere macOS-versie, installeer dan de Safari-update die Apple daar aanbiedt.
Update Apple Vision Pro
Werk visionOS bij naar versie 27.2.
Wees voorzichtig tot je bijgewerkt bent
Open geen links of pagina's van onbekende afzenders zolang de update nog niet is geïnstalleerd.
Dezelfde update lost meer lekken op
De Apple-updates van 26 oktober 2026 verhelpen nog veel meer lekken. Zie ons overzicht van de Apple-updates van oktober 2026.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een typeverwarring (CWE-843) in WebKit, de webengine van Safari en van alle browsers op iPhone en iPad. Er wordt dan een resource benaderd met een ander, niet-passend type dan waarmee die is aangemaakt. Volgens Apple kan speciaal opgemaakte webinhoud zo leiden tot geheugenbeschadiging. De CVSS-vector van NVD (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) laat zien dat de aanval via het netwerk kan en laag in complexiteit is, zonder rechten maar met een handeling van de gebruiker, zoals het openen van een webpagina. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog. Apple loste dit op met verbeterd statusbeheer in de updates van 26 oktober 2026.
CVSS-vector (versie 3.1, basisscore 8,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-843 · Typeverwarring (toegang tot een resource met een incompatibel type)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies