Apa yang terjadi
Cacat autentikasi tidak tepat Apple (CWE-287) memungkinkan penyerang yang sudah memiliki baca/tulis arbitrer pada perangkat yang terpengaruh melewati Pointer Authentication. Perbaikan (pemeriksaan yang ditingkatkan) di-backport ke semua platform Apple dan port WebKit; CISA menambahkannya ke katalog Known Exploited Vulnerabilities pada 2026-11-04, menunjukkan eksploitasi yang dikonfirmasi di lapangan. CVSS 5.5 (lokal, hak istimewa rendah, dampak integritas).
Mengapa penting
Ini adalah sinyal KEV operasional untuk hari ini (CISA menambahkan 2026-11-04, BOD 26-04 jatuh tempo 2026-11-18). Meskipun ini bukan kerentanan AI yang ditargetkan, bypass PAC melemahkan mitigasi eksploitasi inti pada Apple silicon, tempat inferensi AI di perangkat, pustaka ML, dan agen coding AI berjalan; penyerang yang mendapatkan prasyarat baca/tulis dapat merusak perlindungan integritas kode yang bergantung pada runtime AI/ML.
Vektor serangan
Penyerang dengan kemampuan baca dan tulis arbitrer dapat melewati Pointer Authentication (PAC) pada perangkat Apple. Eksploitasi dikonfirmasi di lapangan (CISA KEV ditambahkan 2026-11-04, federal jatuh tempo 2026-11-18). PAC adalah mitigasi eksploitasi kunci pada Apple Silicon yang bergantung pada kerangka kerja ML dan runtime AI untuk integritas kode.
Sistem yang terdampak
Safari < 17.5, iOS/iPadOS < 16.7.8 atau < 17.5, macOS < 14.5 (Sonoma), tvOS < 17.5, watchOS < 10.5
Mitigasi
Terapkan pembaruan vendor Apple (Safari 17.5, iOS/iPadOS 16.7.8 & 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5, WebKitGTK/WPE >=2.44.2) sesuai panduan BOD 26-04 CISA dan persyaratan forensik-triage.