CISA Masukkan Celah Apple CVE-2024-27834 ke KEV, APT29 Diduga Eksploitasi untuk Curi Data

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) menambahkan kerentanan keamanan Apple CVE-2024-27834 ke dalam katalog Known Exploited Vulnerabilities (KEV). Keputusan tersebut diambil setelah muncul laporan bahwa kelompok peretas yang diduga terkait dengan Rusia memanfaatkan celah yang sebenarnya telah diperbaiki sejak Mei 2024.

Kerentanan dengan skor CVSS 5.5 tersebut berkaitan dengan mekanisme autentikasi yang tidak tepat dan dapat dimanfaatkan untuk melewati perlindungan Pointer Authentication (PAC) pada perangkat Apple. Dalam kondisi tertentu, kelemahan ini membantu penyerang melanjutkan eksploitasi setelah memperoleh kemampuan membaca dan menulis memori secara arbitrer.

Laporan eksploitasi tersebut berkaitan dengan kampanye spionase siber bernama Poisoned Source, yang diungkap perusahaan keamanan siber Sekoia pada 4 November 2026. Kampanye ini menargetkan pengguna iPhone dan Android melalui situs web yang telah disusupi, situs tiruan, serta kompromi terhadap komponen analitik pihak ketiga.

Sekoia menilai dengan tingkat keyakinan sedang hingga tinggi bahwa operasi tersebut dilakukan oleh APT29, kelompok spionase yang juga dikenal sebagai Cozy Bear dan Midnight Blizzard serta dikaitkan dengan badan intelijen luar negeri Rusia.

CVE-2024-27834 Digunakan untuk Melewati Perlindungan PAC

CVE-2024-27834 merupakan kerentanan pada sejumlah sistem operasi dan perangkat lunak Apple. Menurut deskripsi kerentanan, penyerang yang sudah memiliki kemampuan membaca dan menulis secara arbitrer berpotensi melewati Pointer Authentication.

Pointer Authentication merupakan mekanisme perlindungan pada arsitektur Apple Silicon yang digunakan untuk membantu mencegah manipulasi pointer dalam alur eksekusi program.

Secara sederhana, mekanisme ini mempersulit penyerang mengubah alamat memori yang digunakan program untuk menentukan instruksi berikutnya. Tanpa melewati perlindungan tersebut, manipulasi memori yang berhasil dilakukan belum tentu cukup untuk mengambil alih alur eksekusi.

Dalam rantai eksploitasi yang dianalisis Sekoia, CVE-2024-27834 digunakan sebagai tahap lanjutan setelah penyerang memperoleh kemampuan membaca dan menulis memori melalui kerentanan lain, yaitu CVE-2025-43529.

Dengan demikian, CVE-2024-27834 bukan celah yang secara mandiri memberikan akses awal ke perangkat. Perannya adalah membantu melewati mekanisme keamanan yang menghalangi kelanjutan eksploitasi.

Apple telah memperbaiki kerentanan ini pada Mei 2024 melalui pembaruan berikut:

• iOS 16.7.8 dan iPadOS 16.7.8.
• iOS 17.5 dan iPadOS 17.5.
• macOS Sonoma 14.5.
• tvOS 17.5.
• watchOS 10.5.
• Safari 17.5.

Celah tersebut sebelumnya juga pernah diperlihatkan sebagai zero-day dalam kompetisi Pwn2Own Vancouver pada Maret 2024.

Kampanye Poisoned Source Menyusup Melalui Situs Web

Dalam laporan teknisnya, Sekoia mengidentifikasi tiga jalur utama yang digunakan pelaku untuk mengirimkan rantai eksploitasi kepada perangkat korban.

Pertama, penyerang menyusupi situs web resmi dan menyisipkan JavaScript berbahaya ke dalam halaman yang dikunjungi pengguna.

Kedua, mereka membuat situs tiruan yang bertindak sebagai perantara antara pengunjung dan situs asli. Dengan pendekatan ini, konten halaman dapat dimodifikasi untuk menyisipkan skrip berbahaya tanpa harus mengubah situs resmi yang ditiru.

Ketiga, pelaku diduga mengompromikan Plerdy SEO Tracker, layanan analitik web asal Ukraina yang digunakan oleh ribuan situs.

Sekoia menemukan bahwa antara 27 Agustus hingga 3 September 2026, skrip analitik tersebut dimodifikasi untuk memuat kode tambahan yang mengarahkan pengunjung ke infrastruktur penyerang. Komponen ini membuat ratusan situs web yang menggunakan tracker tersebut berpotensi ikut terpapar.

Sejumlah situs yang terdampak memiliki keterkaitan dengan sektor strategis, termasuk industri kimia Amerika Serikat, organisasi politik Eropa, serta situs yang berhubungan dengan militer Bulgaria dan Ukraina.

Penyerang juga membuat domain tiruan yang menyamar sebagai situs populer, termasuk situs inisiatif America250 dan sebuah hotel di London.

Pola ini dikenal sebagai watering hole attack. Dalam metode tersebut, penyerang menyusupi atau meniru situs yang kemungkinan dikunjungi target, sehingga perangkat korban dapat diserang ketika mengakses halaman tersebut.

Skrip Berbahaya Memilih Eksploitasi Berdasarkan Perangkat

Setelah pengunjung membuka situs yang telah disusupi, skrip JavaScript akan mengumpulkan karakteristik browser dan perangkat. Informasi tersebut digunakan untuk menentukan rantai eksploitasi yang sesuai dengan sistem operasi dan versi perangkat lunak korban.

Sekoia mengidentifikasi tiga kelompok rantai eksploitasi dalam kampanye tersebut.

1. Serangan terhadap iOS 16.7

Rantai pertama memanfaatkan CVE-2025-43529 dan CVE-2024-27834 untuk memperoleh kemampuan menjalankan kode dan melewati perlindungan Pointer Authentication.

Tujuan akhirnya adalah mencuri cookie browser dari perangkat iOS.

Cookie dapat berisi informasi sesi autentikasi. Jika berhasil dicuri dan masih berlaku, informasi tersebut berpotensi disalahgunakan untuk mengakses layanan web tanpa harus memasukkan kembali kredensial korban.

2. Serangan terhadap iOS 18.5

Rantai kedua menggunakan exploit kit DarkSword dan memanfaatkan lima kerentanan:

• CVE-2025-43529.
• CVE-2026-20700.
• CVE-2025-14174.
• CVE-2025-43510.
• CVE-2025-43520.

Berbeda dari rantai pertama yang berfokus pada pencurian cookie, serangan ini memiliki kemampuan pengumpulan data perangkat yang jauh lebih luas.

Data yang menjadi sasaran mencakup pesan SMS dan iMessage, basis data WhatsApp dan Telegram, kredensial yang tersimpan di iCloud Keychain, kata sandi Wi-Fi, kontak, riwayat panggilan, riwayat Safari, foto, serta sejumlah data dari aplikasi Calendar, Notes, Apple Health, dan iCloud Drive.

3. Serangan terhadap Android

Kampanye ini juga menyasar perangkat Android yang menjalankan Chrome versi 139 hingga 145, dengan pengecualian versi 143 yang tidak menjadi target dalam rantai eksploitasi yang dianalisis.

Dua kerentanan yang digunakan adalah CVE-2026-3910 dan CVE-2025-27038.

Eksploitasi tersebut memungkinkan penyerang menjalankan kode, keluar dari sandbox browser, dan memperoleh hak akses lebih tinggi. Setelah itu, payload bernama AndroSnitch digunakan untuk mengumpulkan data Chrome dan kata sandi Wi-Fi yang tersimpan pada perangkat.

Temuan ini menunjukkan bahwa operasi Poisoned Source tidak hanya berfokus pada ekosistem Apple. Penyerang juga menyiapkan jalur serangan khusus untuk perangkat Android.

APT29 Diduga Berada di Balik Operasi

Sekoia mengaitkan kampanye Poisoned Source dengan APT29 berdasarkan kesamaan infrastruktur, pola operasional, karakteristik teknis, serta profil situs dan korban yang menjadi sasaran.

APT29 dikenal juga dengan nama Cozy Bear dan Midnight Blizzard. Kelompok ini secara luas dikaitkan dengan Foreign Intelligence Service (SVR), badan intelijen luar negeri Rusia.

Namun, atribusi tersebut tetap merupakan penilaian peneliti, bukan konfirmasi resmi mengenai identitas operator di balik setiap insiden.

Sekoia menyatakan tingkat keyakinannya berada pada kategori sedang hingga tinggi. Peneliti juga bekerja sama dengan tim tanggap insiden komputer dari negara-negara terdampak untuk membantu mengidentifikasi korban dan mengevaluasi kemungkinan penghentian infrastruktur serangan.

Seluruh Kerentanan Sudah Memiliki Patch

Salah satu aspek paling penting dari kampanye ini adalah penggunaan kerentanan yang sebenarnya telah diperbaiki oleh vendor masing-masing.

Sekoia mengategorikan rantai eksploitasi tersebut sebagai n-day exploits, yakni eksploitasi terhadap kerentanan yang sudah diketahui dan telah memiliki perbaikan keamanan.

Artinya, kampanye ini bukan memanfaatkan rangkaian zero-day baru yang belum memiliki patch. Penyerang justru memanfaatkan perangkat yang belum menerapkan pembaruan keamanan yang tersedia.

Menurut Sekoia, seluruh rantai eksploitasi yang dianalisis tidak bekerja terhadap perangkat yang telah diperbarui sepenuhnya ke versi aman.

Peneliti juga menemukan bahwa payload yang digunakan tidak membangun mekanisme persistensi. Dengan kata lain, malware tidak dirancang untuk tetap aktif secara permanen setelah perangkat di-restart. Meski demikian, memulai ulang perangkat bukan pengganti pembaruan keamanan karena eksploitasi dapat terjadi kembali ketika korban mengunjungi situs yang masih terkompromi.

CISA Tambahkan CVE-2024-27834 ke Katalog KEV

Penambahan CVE-2024-27834 ke katalog Known Exploited Vulnerabilities menandakan bahwa CISA memiliki informasi mengenai eksploitasi kerentanan tersebut di dunia nyata.

Katalog KEV digunakan CISA untuk mengidentifikasi kerentanan yang diketahui telah dieksploitasi dan perlu diprioritaskan dalam proses mitigasi.

CISA merekomendasikan lembaga pemerintah sipil federal Amerika Serikat (FCEB) untuk menerapkan pembaruan yang diperlukan paling lambat 18 November 2026.

Batas waktu tersebut merupakan kewajiban bagi lembaga pemerintah federal Amerika Serikat yang berada dalam cakupan kebijakan CISA, bukan tenggat wajib bagi seluruh pengguna Apple di dunia.

Meski demikian, pengguna umum dan organisasi yang mengelola perangkat Apple tetap perlu memastikan sistem mereka telah menggunakan versi yang mendapatkan perbaikan keamanan.

Langkah Perlindungan bagi Pengguna iPhone dan Android

Kampanye Poisoned Source memperlihatkan bahwa mengunjungi situs web yang terlihat normal tidak selalu menjamin keamanan perangkat. Situs resmi yang telah disusupi atau layanan pihak ketiga yang dikompromikan dapat menjadi perantara distribusi kode berbahaya.

Untuk mengurangi risiko, pengguna dan administrator disarankan melakukan beberapa langkah berikut:

• Perbarui sistem operasi: Pasang versi terbaru iOS, iPadOS, macOS, Android, dan pembaruan browser yang tersedia untuk perangkat masing-masing.
• Perbarui browser: Pastikan Safari dan Google Chrome menggunakan versi yang masih didukung dan telah menerima perbaikan keamanan.
• Periksa sesi akun: Jika perangkat diduga terpapar, tinjau sesi aktif dan cabut sesi yang tidak dikenal melalui pengaturan keamanan layanan terkait.
• Ganti kredensial yang terdampak: Jika terdapat indikasi pencurian cookie atau kredensial, lakukan penggantian kata sandi dan aktifkan autentikasi multifaktor.
• Evaluasi situs dan komponen pihak ketiga: Pengelola situs web perlu memeriksa skrip analitik, pustaka JavaScript, dan komponen eksternal yang dimuat oleh halaman mereka.
• Lakukan pemeriksaan insiden: Organisasi yang mengelola perangkat berisiko tinggi perlu meninjau indikator kompromi dan aktivitas jaringan yang mencurigakan.

Kasus ini menjadi pengingat bahwa pembaruan keamanan bukan sekadar pemeliharaan rutin. Kerentanan yang telah diperbaiki tetap dapat menjadi senjata efektif ketika perangkat pengguna tertinggal dari versi aman.

Kampanye Poisoned Source juga menunjukkan bagaimana kombinasi situs web terkompromi, rantai eksploitasi lama, dan payload pencuri informasi dapat digunakan untuk menjalankan operasi spionase terhadap perangkat seluler tanpa memerlukan interaksi tambahan setelah korban mengunjungi halaman yang telah disusupi.