Apple ha pubblicato il 9 novembre 2026 una nuova serie di aggiornamenti di sicurezza per iPhone, iPad, Mac, Apple Watch e Vision Pro. Gli aggiornamenti Apple di questa tornata, tra cui iOS 27.2.1, iOS 26.7.3, iOS 18.7.12 e macOS Golden Gate 27.2.1, correggono vulnerabilità nel Bluetooth, in AirPlay e in iMessage: alcune permettono a un attaccante nelle vicinanze di abbinare un dispositivo senza interazione dell’utente.
Quali versioni ha rilasciato Apple
Secondo la pagina ufficiale delle security release, il 9 novembre sono arrivati iOS e iPadOS 27.2.1, iOS e iPadOS 26.7.3 per chi è rimasto sulla versione 26, iOS e iPadOS 18.7.12 per iPhone XS, XS Max, XR e iPad di settima generazione. Sul Mac ci sono macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 e macOS Sequoia 15.8.3. Completano il quadro watchOS 27.2.1, watchOS 26.6.1 e visionOS 27.2.1.
Le schede tecniche pubblicate da Apple non indicano che le falle siano state sfruttate in attacchi reali, una formula che l’azienda usa di solito quando ne è a conoscenza.
Le falle Bluetooth e AirPlay
Il gruppo più consistente riguarda l’abbinamento dei dispositivi. Nella scheda di sicurezza di iOS 27.2.1 Apple descrive CVE-2026-113965, per cui un dispositivo Bluetooth malevolo potrebbe stabilire un abbinamento senza interazione dell’utente, e CVE-2026-113964, che consentirebbe a un attaccante nel raggio del Bluetooth di aggirare il limite ai tentativi sul codice di abbinamento e associarsi al dispositivo.
Altre due correzioni, CVE-2026-113968 in AirPlay e CVE-2026-113969 in rapportd, riguardano lo stesso tipo di limite sui tentativi, nel secondo caso da parte di un attaccante sulla stessa rete. C’è poi CVE-2026-113970, un problema di tipo use-after-free nel Bluetooth che potrebbe permettere di corrompere la memoria di un processo da distanza ravvicinata.
iMessage, i rischi nelle chat di gruppo
Due vulnerabilità interessano Messaggi. Con CVE-2026-113961 un attaccante remoto potrebbe riuscire a entrare in una chat di gruppo iMessage e riceverne i messaggi; con CVE-2026-113960 un utente aggiunto a un gruppo potrebbe leggere messaggi inviati prima del suo ingresso. Apple segnala inoltre una falla di autorizzazione in App Intents, CVE-2026-113963, che potrebbe consentire a un’app di accedere a dati sensibili, e un problema di scrittura fuori dai limiti nella libreria brotli.
Le stesse correzioni compaiono, con poche differenze, nelle schede di iOS 26.7.3 e di macOS Golden Gate 27.2.1. La scheda di iOS 18.7.12 include anche CVE-2026-113971, per cui chi ha accesso fisico al dispositivo potrebbe abbinare un ricevitore AirPlay dalla schermata di blocco.
Cosa fare per proteggersi
Il consiglio è installare l’aggiornamento appena possibile. Su iPhone e iPad il percorso è Impostazioni, Generali, Aggiornamento software; sul Mac si passa da Impostazioni di Sistema, Generali, Aggiornamento software. Apple ricorda che dopo l’installazione su iOS, iPadOS, watchOS e visionOS non è possibile tornare alla versione precedente.
In attesa dell’aggiornamento, conviene disattivare il Bluetooth quando non serve, soprattutto in luoghi affollati, e non accettare richieste di abbinamento inattese. Nelle aziende con molti dispositivi è utile verificare quale linea di sistema usa ciascun apparecchio, perché la versione corretta cambia tra 27, 26 e 18. Per chi segue anche Android, le ultime correzioni sono nel bollettino Android di novembre; sul fronte iPhone resta attuale il caso dello spyware sugli iPhone di deputati e governo tedesco, che ricorda quanto contino gli aggiornamenti tempestivi.
Fonti: https://support.apple.com/en-us/100100; https://support.apple.com/en-us/149715; https://support.apple.com/en-us/149716; https://support.apple.com/en-us/149717; https://support.apple.com/en-us/149718.
