Una Falla Che Non Chiede Nulla All'Utente

Nessun link da cliccare, nessun allegato da aprire, nessun permesso da concedere. Il 17 agosto 2026 Apple ha confermato che un difetto in ImageIO, il framework usato da quasi tutte le app su iOS e macOS per decodificare le foto, poteva permettere a un attaccante di eseguire codice arbitrario nell'istante in cui il dispositivo elaborava un'immagine malformata. Guardare un messaggio, caricare una pagina web o persino ricevere un file in background era sufficiente per attivarla.

La falla, identificata come CVE-2026-65346, è un integer overflow: un calcolo all'interno del codice di decodifica delle immagini che può essere spinto oltre i limiti previsti, corrompendo la memoria in un modo che un attaccante può controllare. La correzione di Apple, secondo le sue stesse note di sicurezza, è consistita in una validazione dell'input migliorata, che chiude la falla prima che possa corrompere qualcosa.

È stata distribuita in iOS 26.6.1, iPadOS 26.6.1, macOS Tahoe 26.6.2 e visionOS 26.6.1, insieme a una lunga lista di altre correzioni nello stesso aggiornamento. Da sola sarebbe stata solo un'altra riga in un ciclo di patch di routine. Ciò che la rende degna di attenzione è chi l'ha scoperta e fino a quando indietro Apple ha scelto di applicare la correzione.

Perché Sono Stati Aggiornati Anche I Vecchi iPhone

Apple mantiene due linee di aggiornamento parallele per i dispositivi ancora supportati ma non più considerati attuali: la linea del sistema operativo più recente per l'hardware nuovo, e una linea legacy per i modelli che non possono eseguire il sistema più recente. La maggior parte delle correzioni di sicurezza raggiunge solo i dispositivi dove il difetto risultava rilevante, e gli aggiornamenti della linea legacy sono riservati ai difetti che Apple giudica abbastanza gravi da giustificare lo sforzo aggiuntivo di ingegneria e test su codice datato.

Per questa falla, Apple ha fatto entrambe le cose. Accanto a iOS 26.6.1 per iPhone 11 e successivi, ha distribuito iOS 18.7.10 e iPadOS 18.7.10 per iPhone XS, XS Max, XR e iPad di settima generazione, dispositivi venduti per la prima volta nel 2018. Questa decisione è di per sé un segnale: il giudizio tecnico interno di Apple ha trattato la falla come abbastanza seria da giustificare il patching di un ramo del sistema operativo che normalmente aggiorna con parsimonia.

Per un'azienda europea che ha ancora un iPhone o un iPad della generazione 2018 nel proprio parco macchine, che sia un dispositivo di scorta, un totem informativo o semplicemente hardware non ancora sostituito, quella doppia patch è la conclusione pratica: la correzione ha raggiunto dispositivi che Apple normalmente tocca di rado, un segnale più forte del solo punteggio CVSS.

Il Dettaglio Su Chi L'Ha Segnalata

La falla è stata attribuita a Nik Tsytsarkin del Red Team X di Meta. Red Team X è l'unità interna di sicurezza offensiva di Meta, costruita specificamente per cacciare la categoria di bug che i fornitori commerciali di spyware cercano: difetti di corruzione della memoria raggiungibili senza alcuna interazione dell'utente, il tipo che diventa uno strumento di sorveglianza a un clic o a zero clic se finisce prima nelle mani sbagliate. Il suo mandato di ricerca è diverso da una normale segnalazione bug bounty proprio perché è costruito attorno a quel modello di minaccia.

L'avviso di Apple afferma che non ci sono prove che il CVE-2026-65346 sia stato sfruttato attivamente prima della patch. È un dettaglio genuinamente rassicurante, ed è opportuno prenderlo per quello che è, senza leggerci dietro una storia peggiore. Ma l'origine della segnalazione dice a un'azienda qualcosa che un semplice punteggio di gravità non dice: questa è esattamente la forma di difetto che i fornitori di spyware cercano per primi, e qui è stata trovata e segnalata prima che raggiungesse quel mercato, non dopo.

Nulla di tutto ciò cambia cosa fare, ed è semplice. Qualsiasi organizzazione che gestisce iPhone, iPad o Mac per il proprio personale dovrebbe trattare questo aggiornamento come un'installazione da fare entro la settimana, non al prossimo ciclo, e verificare specificamente l'inventario dei dispositivi alla ricerca dei modelli della generazione 2018 che hanno richiesto la patch separata della linea legacy, poiché sono quelli più a rischio di eseguire ancora una build datata che un normale ciclo di ricambio non ha ancora raggiunto.

Da leggere ora: Un'IA Ha Trovato Nove Dei Bug Nel Browser Del Tuo Telefono  |  La Germania costringe Apple a rifare il consenso