Kerngegevens
- Leverancier
- Apple
- Soort software
- besturingssysteem
- Getroffen versies
- iOS en iPadOS versies vóór 27
- macOS versies vóór Golden Gate 27
- Oplossing
- Update beschikbaar
- Opgeloste versie
- iOS en iPadOS 27
- macOS Golden Gate 27
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Er zit een race condition in iOS, iPadOS en macOS. Dat is een fout waarbij de uitkomst afhangt van het precieze moment waarop processen iets doen. Door dit lek kan een kwaadaardige app mogelijk uit de sandbox breken, de beschermde omgeving waarin apps normaal draaien. Apple heeft extra controles toegevoegd om het probleem op te lossen.
Wie loopt risico?
Je loopt risico als je een iPhone, iPad of Mac gebruikt met een versie van iOS, iPadOS of macOS die ouder is dan versie 27. Een aanvaller moet eerst een kwaadaardige app op je apparaat zien te krijgen, bijvoorbeeld doordat je die installeert. De aanval gebeurt lokaal en is volgens de CVSS-vector niet eenvoudig uit te voeren. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Werk je apparaten bij
Installeer iOS 27 of iPadOS 27 op je iPhone en iPad. Ga hiervoor naar Instellingen, Algemeen en dan Software-update.
Werk je Mac bij
Installeer de update naar macOS Golden Gate 27 via Systeeminstellingen, Algemeen en dan Software-update.
Wees voorzichtig met apps
Installeer alleen apps uit bronnen die je vertrouwt, zoals de App Store, zolang je nog niet bent bijgewerkt.
Lees het advies van Apple
Meer details staan in de beveiligingsadviezen van Apple, zie de bronnen bij dit bericht.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft een race condition (CWE-362): gelijktijdige uitvoering met onvoldoende synchronisatie van een gedeelde bron. Een kwaadaardige app kan dit tijdsvenster misbruiken om de beperkingen van de sandbox te omzeilen. De CVSS-vector (AV:L/AC:H/PR:L/UI:N/S:C) geeft aan dat de aanval lokaal is, een hoge complexiteit heeft, beperkte rechten vereist en geen gebruikersinteractie nodig heeft. De scope verandert, waardoor de impact op vertrouwelijkheid, integriteit en beschikbaarheid hoog kan zijn. Apple heeft het probleem verholpen met extra validatie. De CVSS-score van 7,8 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-362 · Race condition (gelijktijdige uitvoering met onvoldoende synchronisatie)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee