Apple iOS e macOS 27.2: 286 falle e zero-day esteso a iOS 18

Lunedì 26 ottobre Apple ha pubblicato un nuovo giro di aggiornamenti di sicurezza per tutti i suoi sistemi operativi. Per chi gestisce dispositivi aziendali le novità sono due: le versioni 27.2 di iOS, iPadOS e macOS correggono in tutto 286 vulnerabilità, e la correzione di CVE-2026-86950, lo zero-day di CoreGraphics già sfruttato in attacchi mirati, arriva ora anche sugli iPhone e sugli iPad rimasti a iOS 18.

Lo zero-day CoreGraphics arriva su iOS 18

A fine settembre Apple aveva corretto CVE-2026-86950, una scrittura fuori dai limiti della memoria in CoreGraphics, con iOS e iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. Secondo il produttore il difetto potrebbe essere stato sfruttato in un attacco «estremamente sofisticato» contro persone specifiche, su versioni di iOS precedenti a iOS 27. I dettagli tecnici sono nel nostro articolo di settembre.

Gli aggiornamenti di questa settimana chiudono il fronte rimasto aperto:

• iOS e iPadOS 18.7.11 correggono tre vulnerabilità, tra cui CVE-2026-86950 (il dato è di SecurityWeek);
• secondo BleepingComputer la correzione copre ora iPhone XS, iPhone XS Max, iPhone XR, iPad di settima generazione, iPad Air di quarta generazione e successivi, iPad di nona generazione e successivi e iPad mini di sesta generazione e successivi;
• secondo SecurityWeek iOS e macOS 27 non risultano colpiti.

Sugli attacchi non ci sono informazioni nuove: nessun indicatore di compromissione pubblico, nessun attore attribuito, nessun dettaglio sul canale con cui veniva consegnato il file malevolo.

Sul conteggio degli zero-day del 2026 le testate non concordano. BleepingComputer ne conta due sfruttati quest’anno: CVE-2026-86950 e CVE-2026-20700 in dyld (il linker dinamico dei sistemi Apple), corretto a febbraio. A settembre The Register parlava invece del settimo zero-day dell’anno. BleepingComputer ricorda anche che nel corso dell’anno Apple aveva già portato su iPhone e iPad datati le correzioni di quattro vulnerabilità usate con il kit di exploit Coruna in campagne di spionaggio e di furto di criptovalute.

Le 286 falle della versione 27.2

I numeri, riportati da SecurityWeek:

• macOS Golden Gate 27.2: 263 vulnerabilità;
• iOS e iPadOS 27.2: 163 vulnerabilità, circa 140 in comune con macOS;
• iOS e iPadOS 26.7.2: 134; macOS Tahoe 26.7.2: 213; macOS Sequoia 15.8.2: 197;
• tvOS 27.2: 72; watchOS 27.2: 62; visionOS 27.2: 125; Safari 27.2: 33.

Su iOS e iPadOS 27.2 la parte più consistente riguarda la corruzione della memoria in WebKit, nel kernel e nei componenti che elaborano immagini, caratteri, PDF, audio e video: alcuni di questi difetti possono portare all’esecuzione di codice arbitrario. Ci sono poi falle che permettono alle app di leggere dati sensibili o di aggirare le preferenze sulla privacy, fughe dalla sandbox di WebContent, un problema di impersonificazione del KDC Kerberos e un difetto che consente a un attaccante nelle vicinanze di accedere a una rete Thread.

Su macOS Golden Gate 27.2 spiccano:

• più di una dozzina di elevazioni di privilegi che possono dare a un’app i permessi di root;
• fughe dalla sandbox e aggiramenti di Gatekeeper;
• corruzione della memoria del kernel nei componenti del file system e delle immagini disco;
• numerose falle in Condivisione schermo, Gestione remota e SMB, attaccabili da remoto o dalla rete locale, tra cui un difetto di Gestione remota che permette a un attaccante remoto di eseguire codice arbitrario.

Per nessuna di queste vulnerabilità le fonti segnalano sfruttamenti in corso: l’unica sfruttata resta CVE-2026-86950. In termini MITRE ATT&CK, le classi di difetti più rilevanti per un’azienda sono l’elevazione di privilegi (T1068, Exploitation for Privilege Escalation) e i servizi remoti di macOS, che un attaccante già nella rete può usare per spostarsi (T1210, Exploitation of Remote Services).

Impatto per le aziende europee e italiane

I rischi da gestire sono due, diversi tra loro:

• iPhone e iPad datati, spesso ancora in mano a dirigenti o usati come dispositivi condivisi in reparto, in negozio o in magazzino: fino a questa settimana restavano esposti a uno zero-day già usato in attacchi reali;
• Mac con Gestione remota, Condivisione schermo o SMB attivi sulla rete aziendale: l’esecuzione di codice da remoto è il caso più delicato, perché trasforma un servizio di amministrazione in una via di movimento laterale.

Per i soggetti NIS2 la gestione delle vulnerabilità comprende anche smartphone, tablet e Mac: aggiornamenti di questa ampiezza vanno pianificati e documentati come quelli di Windows e dei server. Nella sanità, dove iPad e iPhone servono a consultare dati clinici, i dispositivi fermi a iOS 18 vanno controllati per primi.

Cosa fare subito

1. Fai l’inventario: dalla console MDM estrai i dispositivi con iOS o iPadOS 18 precedente a 18.7.11, 26 precedente a 26.7.2 e 27 precedente a 27.2; per i Mac, le versioni precedenti a Golden Gate 27.2, Tahoe 26.7.2 e Sequoia 15.8.2.
2. Parti da iOS 18: sono i dispositivi che fino a pochi giorni fa non avevano una correzione per lo zero-day. Imponi 18.7.11 con una scadenza breve, a cominciare dalle persone più esposte.
3. Proteggi i Mac: aggiornali e, nell’attesa, limita Gestione remota, Condivisione schermo e condivisione SMB ai soli host di amministrazione, oppure spegnile dove non servono. Non devono mai essere raggiungibili da internet.
4. Non dimenticare il resto: Safari 27.2 corregge 33 vulnerabilità; nel piano rientrano anche Apple TV delle sale riunioni, Apple Watch e Vision Pro aziendali.
5. Escludi i dispositivi fuori supporto: i modelli che non ricevono neanche 18.7.11 vanno tolti dall’accesso ai dati aziendali o sostituiti.

Come aiuta ARXDOME

Sui Mac l’agent di ARX Sentry raccoglie l’inventario di sistema e software, quindi mostra quali macchine non hanno ancora macOS Golden Gate 27.2, Tahoe 26.7.2 o Sequoia 15.8.2. ARX Shield elenca le vulnerabilità aperte per macchina, mette in evidenza quelle già sfruttate e ne segue l’andamento giorno per giorno fino alla chiusura. Per iPhone e iPad il punto di controllo resta la console MDM.

Ultimo aggiornamento: 27 ottobre 2026