Apple distribuisce aggiornamenti di emergenza per iOS, macOS, visionOS dopo un caso di sfruttamento

Mercoledì Apple ha rilasciato diversi aggiornamenti di sicurezza di emergenza per risolvere una vulnerabilità zero-day che era già stata sfruttata in avanzati attacchi informatici contro i suoi dispositivi.

Secondo le note condivise dal team di supporto di Apple, la patch è stata rilasciata per iOS, iPadOS, macOS Tahoe, tvOS, watchOS e visionOS. L'azienda ha dichiarato che la falla, denominata CVE-2026-20700, potrebbe consentire agli attaccanti di eseguire codice malevolo sui dispositivi interessati se sfruttata con successo.

L'analisi di Google Threat Analysis ha rilevato che la CVE-2026-20700 causa una corruzione della memoria in dyld, l'Editor di Link Dinamico di Apple. Il gruppo di ricercatori di cybersecurity ha avvertito che gli hacker in grado di scrivere nella memoria del dispositivo potrebbero sfruttare la falla per eseguire comandi arbitrari. Il team di sicurezza interno di Apple ha collaborato con gli analisti della sicurezza durante le indagini.

«Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro specifici individui presi di mira su versioni di iOS precedenti alla 26», ha dichiarato l'azienda in un avviso di sicurezza.

La falla zero-day aveva già eseguito attacchi mirati, afferma il rapporto di Google

Secondo la patch di Apple nota, il bug zero-day faceva parte di un insieme di vulnerabilità che erano state precedentemente identificate e risolte. Due vulnerabilità correlate, CVE-2025-14174 e CVE-2025-43529, sono state corrette a fine dicembre.

All'epoca, Cryptopolitan ha riportato ha segnalato che queste vulnerabilità precedenti interessavano WebKit, il motore che alimenta il browser Safari di Apple e tutti i browser di terze parti su iOS e iPadOS. 

La vulnerabilità CVE-2025-14174 riguardava un problema di accesso alla memoria fuori dai limiti nel componente renderer Metal di ANGLE. Metal è il framework di grafica e calcolo accelerato dall'hardware di Apple.

Dall'altro lato, la CVE-2025-43529 derivava da una vulnerabilità use-after-free in WebKit. Gli attaccanti informatici avrebbero potuto sfruttare il problema tramite contenuti web appositamente creati che consentivano l'esecuzione di codice sul dispositivo della vittima.

Un problema critico riguardava il framework CoreMedia, che gestisce l'elaborazione audio e video. Gli hacker avrebbero potuto prendere il controllo di CoreMedia di un utente inviando file malevolmente creati a iPhone presi di mira. Quando elaborati, questi file avrebbero potuto innescare condizioni di denial-of-service o esporre dati privati dalla memoria del telefono.

L'analisi di Google ha confermato che le vulnerabilità erano state probabilmente impiegate in campagne di spyware mirate contro attivisti, giornalisti o funzionari governativi.

Apple elenca i dispositivi idonei agli aggiornamenti

Gli ultimi aggiornamenti di sicurezza di Apple si applicano sia ai dispositivi attuali che a quelli più vecchi, su più piattaforme. L'azienda ha rilasciato iOS 26.3 e iPadOS 26.3 per iPhone 11 e modelli successivi, nonché per diverse generazioni di iPad.

I computer Mac che eseguono macOS Tahoe hanno ricevuto gli aggiornamenti versione 26.3, mentre i modelli Apple TV hanno ottenuto tvOS 26.3. Apple Watch Series 6 e dispositivi più recenti hanno ricevuto watchOS 26.3.

Apple ha inoltre rilasciato aggiornamenti visionOS 26.3 per tutti gli headset Vision Pro, mentre i dispositivi più vecchi hanno ricevuto patch tramite aggiornamenti come iOS 18.7.5, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 e Safari 26.3.

Apple ha dichiarato che il problema è stato risolto attraverso un migliore gestione della memoria nell'ultimo rilascio di iOS.

Altre vulnerabilità patchate sono state risolte in aree core del sistema, tra cui Game Center, ImageIO, il kernel del sistema operativo e le funzionalità Live Caption, Foto, Spotlight, Scorciatoie e StoreKit di Apple.

Aggiornamenti delle funzionalità Siri posticipati dopo test falliti

Gli aggiornamenti di sicurezza arrivano mentre Apple fatica a migliorare il suo assistente vocale Siri. Il produttore di iPhone stava pianificando il lancio delle nuove funzionalità di Siri nel prossimo rilascio software previsto per marzo.

Tuttavia, problemi di test hanno costretto Apple a riconsiderare la tempistica, hanno riferito persone a conoscenza della questione. Alcune funzionalità ora dovrebbero essere posticipate a rilasci successivi.

Apple aveva inizialmente previsto di includere le funzionalità avanzate di Siri in iOS 26.4. Sebbene la tempistica di rilascio di marzo per l'aggiornamento non sia cambiata, alcune funzioni saranno escluse. Gli ingegneri stanno ora testando le nuove funzionalità in iOS 26.5, previsto per maggio, mentre altri aggiornamenti potrebbero essere ulteriormente posticipati fino a iOS 27 a settembre.

Durante la sua prima presentazione a giugno 2024, Siri è stata mostrata nell'analisi dei contenuti a schermo e nell'offerta di un controllo vocale più preciso sia nelle applicazioni Apple che di terze parti. Apple aveva originariamente previsto di rilasciare queste funzionalità all'inizio del 2025, ma tale tempistica è stata successivamente spostata a una data non specificata nel 2026.