Mercoledì Apple ha rilasciato diversi aggiornamenti di sicurezza di emergenza per correggere una vulnerabilità zero-day che era già stata sfruttata in attacchi informatici avanzati contro i suoi dispositivi.
Secondo le note condivise dal team di supporto Apple, la patch è stata rilasciata per iOS, iPadOS, macOS Tahoe, tvOS, watchOS e visionOS. L'azienda ha affermato che la falla, denominata CVE-2026-20700, potrebbe consentire agli aggressori di eseguire codice dannoso sui dispositivi interessati se sfruttata con successo.
L'analisi delle minacce condotta da Google ha rilevato che la vulnerabilità CVE-2026-20700 causa il danneggiamento della memoria in dyld, il Dynamic Link Editor di Apple. Il gruppo di ricercatori sulla sicurezza informatica ha lanciato l'allarme: gli hacker in grado di scrivere sulla memoria del dispositivo potrebbero sfruttare la falla per eseguire comandi arbitrari. Il team di sicurezza interna di Apple ha collaborato con gli analisti della sicurezza durante l'indagine.
"Apple è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici nelle versioni di iOS precedenti a iOS 26", ha affermato l'azienda in un avviso di sicurezza.
Secondo un rapporto di Google, la falla zero-day aveva già eseguito attacchi mirati
Secondo le note , il bug zero-day faceva parte di una serie di vulnerabilità precedentemente identificate dent risolte. Due falle correlate, CVE-2025-14174 e CVE-2025-43529, sono state corrette a fine dicembre.
All'epoca, Cryptopolitan è stato segnalato che queste precedenti vulnerabilità stavano interessando WebKit, il motore che alimenta il browser Safari di Apple e tutti i browser di terze parti su iOS e iPadOS.
La falla CVE-2025-14174 riguardava un problema di accesso alla memoria fuori dai limiti nel componente di rendering Metal di ANGLE. Metal è il framework di elaborazione e grafica con accelerazione hardware di Apple.
D'altro canto, la vulnerabilità CVE-2025-43529 derivava da una vulnerabilità di tipo use-after-free in WebKit. I cybercriminali potevano sfruttare la vulnerabilità tramite contenuti web appositamente creati per consentire l'esecuzione di codice sul dispositivo della vittima.
Un problema critico riguardava il framework CoreMedia, che gestisce l'elaborazione audio e video. Gli hacker potevano prendere il controllo del CoreMedia di un utente inviando file dannosi agli iPhone presi di mira. Una volta elaborati, questi file potevano innescare condizioni di negazione del servizio o esporre dati privati dalla memoria del telefono.
L'analisi di Google ha confermato che le vulnerabilità erano state probabilmente sfruttate in campagne di spyware mirate contro attivisti, giornalisti o funzionari governativi.
Le note di Apple elencano i dispositivi idonei per gli aggiornamenti
Gli ultimi aggiornamenti di sicurezza di Apple si applicano sia ai dispositivi attuali che a quelli meno recenti, su più piattaforme. L'azienda ha rilasciato iOS 26.3 e iPadOS 26.3 per iPhone 11 e modelli successivi, nonché per diverse generazioni di iPad.
I computer Mac con macOS Tahoe hanno ricevuto gli aggiornamenti alla versione 26.3, mentre i modelli Apple TV hanno ottenuto tvOS 26.3. Apple Watch Series 6 e i dispositivi più recenti hanno ricevuto watchOS 26.3.
Apple ha inoltre rilasciato gli aggiornamenti visionOS 26.3 per tutti i visori Vision Pro, mentre i dispositivi più vecchi hanno ricevuto patch tramite aggiornamenti come iOS 18.7.5, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 e Safari 26.3.
Apple ha affermato che il problema è stato risolto migliorando la gestione della memoria nell'ultima versione di iOS.
Sono state individuate altre vulnerabilità corrette nelle aree principali del sistema, tra cui Game Center, ImageIO, il kernel del sistema operativo e Live Caption, Photos, Spotlight, Shortcuts e StoreKit di Apple.
Aggiornamenti delle funzionalità Siri ritardati dopo test falliti
Gli aggiornamenti di sicurezza arrivano mentre Apple fatica ad aggiornare il suo assistente vocale Siri. Il produttore di iPhone prevedeva di lanciare le nuove funzionalità di Siri nella prossima versione software prevista per marzo.
Tuttavia, secondo fonti vicine alla questione, i problemi di test hanno costretto Apple a riconsiderare la tempistica. Si prevede che alcune funzionalità saranno disponibili solo in un secondo momento.
Inizialmente Apple aveva pianificato di includere le funzionalità avanzate di Siri in iOS 26.4. Sebbene la tempistica di rilascio dell'aggiornamento a marzo non sia cambiata, alcune funzioni saranno escluse. Gli ingegneri stanno ora testando le nuove funzionalità in iOS 26.5, il cui arrivo è previsto per maggio, mentre ulteriori aggiornamenti potrebbero essere ulteriormente posticipati a iOS 27 a settembre.
Durante la sua prima presentazione, avvenuta a giugno 2024, Siri è stata mostrata in grado di analizzare i contenuti sullo schermo e di offrire un controllo vocale più preciso sia nelle applicazioni Apple che in quelle di terze parti. Apple aveva inizialmente pianificato di rilasciare queste funzionalità entro l'inizio del 2025, ma tale data è stata successivamente posticipata a una data non specificata, il 2026.
