Corretta sui vecchi iPhone e iPad una vulnerabilità CoreGraphics già sfruttata
La vulnerabilità CoreGraphics, un punto debole nel framework Apple per l’elaborazione grafica, è stata ora corretta su altri iPhone e iPad meno recenti tramite iOS 18.7.11 e iPadOS 18.7.11. Apple ha pubblicato gli aggiornamenti lunedì come backport, ossia una correzione di sicurezza originariamente distribuita per software più recente e successivamente adattata alle versioni precedenti ancora supportate. Apple afferma che la vulnerabilità potrebbe essere stata utilizzata in un attacco estremamente sofisticato contro persone specificamente prese di mira.
Identificata come CVE-2026-86950, la vulnerabilità di gravità elevata ha una valutazione di 8,8 secondo il Common Vulnerability Scoring System (CVSS), sulla scala standard di 10 punti. Si tratta di un out-of-bounds write, un errore che può consentire al software di scrivere dati al di fuori dell’area di memoria riservata. L’elaborazione di un file creato in modo malevolo potrebbe quindi portare all’arbitrary code execution, permettendo al file di far eseguire al dispositivo comandi scelti da un aggressore.
Apple ha corretto per la prima volta CVE-2026-86950 il mese scorso in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. In quell’occasione, l’azienda ha confermato di aver ricevuto una segnalazione secondo cui la vulnerabilità avrebbe potuto essere sfruttata in attacchi contro persone selezionate che utilizzavano versioni di iOS precedenti a iOS 27. Apple non ha identificato alcun aggressore né fornito ulteriori informazioni sui file malevoli, sulle persone colpite o sul metodo di attacco; questi dettagli rimangono pertanto sconosciuti.
Le correzioni estese incluse in iOS 18.7.11 e iPadOS 18.7.11 riguardano iPhone XS, iPhone XS Max e iPhone XR. I tablet supportati indicati per gli aggiornamenti sono iPad di 7a generazione, iPad Air di 4a generazione e successivi, iPad di 9a generazione e successivi e iPad mini di 6a generazione e successivi. I proprietari di questi dispositivi dovrebbero installare l’aggiornamento più recente proposto nelle impostazioni di aggiornamento software del dispositivo, anziché presumere che un modello meno recente sia escluso dal ciclo delle patch.
I due aggiornamenti correggono inoltre vulnerabilità distinte riguardanti privacy e sicurezza. CVE-2026-65339 è un problema logico in Audio che potrebbe consentire a un’app di divulgare informazioni sensibili dell’utente. CVE-2026-86990 è una vulnerabilità nel controllo degli accessi di CoreMedia, il framework Apple per l’elaborazione dei contenuti multimediali, che potrebbe consentire a un’app malevola di utilizzare la fotocamera senza il permesso dell’utente. La fonte non afferma che una di queste due vulnerabilità sia stata sfruttata in attacchi reali.
Insieme alle patch distribuite tramite backport, Apple ha pubblicato iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2 e Safari 27.2. Queste versioni risolvono centinaia di vulnerabilità in componenti che includono AppleAVD, CoreAudio, ImageIO, il kernel, ossia la parte centrale di un sistema operativo, Model I/O, Screen Sharing Server, Spotlight, StorageKit e WebKit.
Una vulnerabilità degna di nota in questo insieme più ampio è CVE-2026-86987, un problema di autorizzazione in Apple Intelligence. Apple afferma che un aggressore remoto potrebbe sfruttarlo per ottenere dati sensibili degli utenti. L’azienda ha risolto il problema in iOS e iPadOS migliorando gli entitlement checks, i controlli utilizzati per verificare se un software dispone del permesso di usare una funzionalità o una risorsa protetta. Apple non ha indicato che questa vulnerabilità o le altre presenti nelle versioni 27.2 fossero sfruttate in attacchi reali.
Per i proprietari di siti web e i team IT, la preoccupazione pratica è che i telefoni e i tablet utilizzati per l’amministrazione, le comunicazioni o l’accesso ai sistemi aziendali richiedono comunque una manutenzione tempestiva del sistema operativo. Per le aziende che cercano assistenza nell’ambito di questa responsabilità più ampia, AEU-I offre servizi IT, infrastruttura e consulenza con la sicurezza come priorità. Per gli utenti interessati, la priorità immediata è installare l’aggiornamento disponibile del sistema operativo, poiché CVE-2026-86950 è già stata associata a sfruttamenti in attacchi reali e può essere attivata tramite l’elaborazione di file.