Apple ha rilasciato iOS 18.7.11 e iPadOS 18.7.11, un aggiornamento di sicurezza per iPhone e iPad più datati che porta anche su questi dispositivi la correzione della CVE-2026-86950, una vulnerabilità zero-day in CoreGraphics che secondo l’azienda potrebbe essere stata sfruttata in attacchi mirati. Chi usa un modello rimasto su iOS 18 dovrebbe installare l’aggiornamento iOS 18.7.11 il prima possibile.
La zero-day CVE-2026-86950 in CoreGraphics
Secondo il bollettino di sicurezza pubblicato da Apple il 26 ottobre 2026, la falla è una scrittura fuori dai limiti di memoria (out-of-bounds write) nel componente CoreGraphics. Elaborando un file creato ad arte, un attaccante potrebbe arrivare a eseguire codice arbitrario sul dispositivo. Apple scrive di essere a conoscenza di una segnalazione secondo cui il problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro specifici individui presi di mira, su versioni di iOS precedenti a iOS 27. La scoperta è attribuita a Meta Product Security.
Come riporta BleepingComputer, Apple aveva già corretto la stessa vulnerabilità a settembre con iOS e iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1: con questa release la patch arriva anche ai dispositivi che non possono passare alle versioni più recenti del sistema. Sempre secondo BleepingComputer, si tratta della seconda zero-day sfruttata corretta da Apple quest’anno, dopo la CVE-2026-20700 in dyld di febbraio. Anche il CSIRT Italia ha segnalato l’aggiornamento.
Quali iPhone e iPad ricevono l’aggiornamento iOS 18.7.11
Secondo Apple, iOS 18.7.11 e iPadOS 18.7.11 sono disponibili per:
- iPhone XS, iPhone XS Max e iPhone XR;
- iPad di settima generazione e iPad di nona generazione e successivi;
- iPad Air di quarta generazione e successivi;
- iPad mini di sesta generazione e successivi.
Le altre vulnerabilità corrette
L’aggiornamento risolve anche altre due falle, per le quali Apple non segnala sfruttamenti attivi. La CVE-2026-86990, in CoreMedia, poteva permettere a un’app malevola di accedere alla fotocamera senza autorizzazione; la CVE-2026-65339, nel componente Audio, poteva consentire a un’app di far trapelare informazioni sensibili dell’utente.
Cosa fare
- Aprire Impostazioni, Generali, Aggiornamento software e installare iOS 18.7.11 o iPadOS 18.7.11.
- Se il dispositivo supporta versioni più recenti di iOS, valutare l’aggiornamento all’ultima release disponibile, che contiene già la correzione.
- Attivare gli aggiornamenti automatici, così da ricevere subito le prossime patch di sicurezza.
- Diffidare di file e allegati ricevuti da mittenti sconosciuti, che sono il vettore tipico di questo genere di attacchi.
Sul tema della sicurezza degli iPhone abbiamo parlato anche delle truffe sugli iPhone Duo scoperte da Kaspersky e del programma di ricompense di Apple per i ricercatori di sicurezza. Per un altro caso di zero-day sfruttata in attacchi mirati si può leggere l’articolo su Stealth Falcon e la zero-day di Windows.
Fonti: Apple, BleepingComputer, CSIRT Italia
