In questo articolo Indice dei contenuti 2 sezioni
Apple ha esteso agli iPhone e agli iPad più datati le patch di sicurezza pubblicate il mese scorso. L’obiettivo è chiudere una vulnerabilità zero day in CoreGraphics che, stando all’azienda, è stata sfruttata in attacchi mirati “estremamente sofisticati” contro dispositivi iOS. Il difetto era già stato corretto a settembre sui dispositivi aggiornati a iOS 26.7.1 e iPadOS 26.7.1, oltre che su macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. Adesso la stessa protezione raggiunge anche una serie di modelli che non possono contare sulle versioni più recenti del sistema operativo.
A scoprire la falla è stato il team Meta Product Security. Si tratta di un errore di scrittura fuori dai limiti della memoria, quello che in gergo tecnico viene chiamato out of bounds write. Il problema si trova dentro CoreGraphics, il framework che gestisce la grafica vettoriale bidimensionale, il disegno del testo e la resa delle immagini su iOS, macOS, iPadOS, watchOS e tvOS. Quando una vulnerabilità di questo tipo viene sfruttata con successo, chi attacca riesce a scrivere dati al di fuori dello spazio di memoria assegnato. Le conseguenze possono essere il blocco di un’applicazione, la corruzione di dati oppure l’esecuzione di codice da remoto, che è lo scenario più serio.
Cosa ha comunicato Apple e quali modelli ricevono la patch
Nell’avviso diffuso lunedì l’azienda di Cupertino ha spiegato di essere a conoscenza di una segnalazione secondo cui la falla potrebbe essere stata sfruttata in un attacco estremamente sofisticato contro persone specifiche, prese di mira su versioni di iOS precedenti a iOS 27. Nella stessa nota Apple descrive il rischio in modo piuttosto diretto: l’elaborazione di un file creato ad arte può portare all’esecuzione di codice arbitrario. Il problema è stato risolto con un controllo più rigoroso dei limiti di memoria.
Con gli aggiornamenti rilasciati questa settimana la correzione arriva su iPhone XS, iPhone XS Max e iPhone XR. Sul fronte tablet sono coperti iPad di settima generazione, iPad Air dalla quarta generazione in poi, iPad dalla nona generazione in avanti e iPad mini dalla sesta generazione in su. Si tratta di dispositivi ancora molto diffusi, spesso usati ogni giorno anche se non più in cima al listino.
L’azienda sottolinea che la vulnerabilità è stata sfruttata soltanto in attacchi altamente mirati. Questo però non rende superfluo l’aggiornamento. Installare le patch retroattive resta la strada consigliata per bloccare eventuali attacchi futuri, anche da parte di chi non rientra nel ristretto gruppo di bersagli colpiti finora.
Il secondo zero day corretto quest’anno
Con questa correzione salgono a due le vulnerabilità zero day sfruttate in attacchi reali che Apple ha chiuso nel corso del 2026. L’altra riguardava dyld, il Dynamic Link Editor impiegato dai sistemi operativi della casa di Cupertino. Anche in quel caso il difetto permetteva l’esecuzione di codice arbitrario ed era stato usato in attacchi mirati descritti come estremamente sofisticati. La patch era arrivata a febbraio.
Nei mesi scorsi non sono mancati altri interventi. Apple ha sistemato una falla ad alta gravità nei Beats Studio Buds che permetteva a un malintenzionato nel raggio del Bluetooth di spiare le conversazioni degli utenti. Inoltre ha protetto iPhone e iPad meno recenti da quattro vulnerabilità prese di mira in campagne di spionaggio informatico e di furto di criptovalute portate avanti con il kit di exploit Coruna.
Fonte: TecnoAndroid