Zero-day Apple CVE-2026-86950: CoreGraphics già sfruttato

Apple ha corretto CVE-2026-86950, una vulnerabilità di CoreGraphics, il framework che gestisce la grafica nei suoi sistemi operativi. Secondo il produttore il difetto potrebbe essere già stato sfruttato in un attacco «estremamente sofisticato» contro persone scelte con cura. Il 29 settembre la CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV), con scadenza al 13 ottobre per le agenzie federali statunitensi.

Cosa è successo

Il bollettino di sicurezza di Apple, pubblicato lunedì 28 settembre, descrive una scrittura fuori dai limiti della memoria in CoreGraphics. Elaborando un file costruito ad arte, un attaccante può arrivare all’esecuzione di codice arbitrario sul dispositivo. Apple ha risolto il problema migliorando i controlli sui limiti.

Il produttore dichiara di essere a conoscenza di una segnalazione secondo cui il difetto potrebbe essere stato sfruttato contro individui mirati, su versioni di iOS precedenti a iOS 27. Non dice quali versioni sono state colpite, chi c’era dietro, quante persone sono state coinvolte né come veniva consegnato il file. La vulnerabilità è stata segnalata ad Apple dal team Meta Product Security. Né Apple né Meta hanno pubblicato altri dettagli tecnici.

Dettagli tecnici

• CVE: CVE-2026-86950, scrittura fuori dai limiti (out-of-bounds write, CWE-787) in CoreGraphics. La CISA la registra come vulnerabilità di «Apple Multiple Products».
• Effetto: esecuzione di codice arbitrario durante l’elaborazione di un file malevolo.
• Versioni corrette: iOS 26.7.1 e iPadOS 26.7.1. Secondo Infosecurity Magazine la correzione è arrivata anche con macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. The Register cita invece solo iOS e iPadOS.
• Dispositivi che ricevono l’aggiornamento:
  • iPhone 11 e successivi;
  • iPad Pro 12,9 pollici di terza generazione e successivi;
  • iPad Pro 11 pollici di prima generazione e successivi;
  • iPad Air di terza generazione e successivi;
  • iPad di ottava generazione e successivi;
  • iPad mini di quinta generazione e successivi.
• Vettore d’attacco: un file costruito ad arte. Il canale di consegna (messaggi, allegati, navigazione) non è stato reso noto.
• MITRE ATT&CK: T1203 (Exploitation for Client Execution) per macOS e la tecnica corrispondente della matrice Mobile, T1658. Il vettore d’ingresso non è noto, quindi non si può mappare la tecnica di accesso iniziale.
• Indicatori di compromissione: nessuno pubblicato.
• Uso in ransomware: per la CISA, non noto.

Il contesto

Secondo The Register è il settimo zero-day corretto da Apple nel 2026. Il produttore usa la stessa formula, «attacco estremamente sofisticato contro individui specifici», per i casi di sfruttamento mirato. Nel febbraio 2025, per esempio, l’aveva usata per CVE-2025-24200, scoperta dai ricercatori del Citizen Lab. Le testate notano che in passato vulnerabilità di questo tipo sono state legate a fornitori di spyware commerciale. Per CVE-2026-86950, però, nessuna fonte attribuisce l’attacco a un attore o a uno strumento preciso.

Infosecurity Magazine ricorda anche che a settembre Apple ha corretto CVE-2026-86869, una vulnerabilità zero-click attivabile con un iMessage costruito ad arte. Per quel difetto, però, non risultano sfruttamenti.

Impatto per le aziende europee e italiane

Il profilo degli attacchi mirati riguarda da vicino le aziende: dirigenti, amministratori di sistema e chi tratta informazioni sensibili sono i bersagli tipici. Proprio queste persone ottengono spesso eccezioni alle regole sugli aggiornamenti. Uno smartphone compromesso dà accesso a posta, messaggi, autenticazione a più fattori e applicazioni aziendali.

Per i soggetti NIS2, smartphone e tablet aziendali rientrano negli asset da gestire: inventario, aggiornamenti e gestione delle vulnerabilità devono coprire anche loro, non solo computer e server. Nella sanità, dove gli iPad sono spesso usati in reparto per consultare dati clinici, un dispositivo non aggiornato è un rischio diretto per i dati dei pazienti.

Cosa fare subito

1. Fai l’inventario: dalla console di gestione dei dispositivi mobili (MDM) estrai gli iPhone e gli iPad con versione inferiore a 26.7.1 e i Mac con versioni di macOS precedenti a Tahoe 26.7.1 o Sequoia 15.8.1. Controlla sul bollettino di Apple l’elenco completo dei sistemi corretti.
2. Imponi l’aggiornamento: fissa una scadenza breve tramite MDM e riduci al minimo i rinvii concessi agli utenti, comprese le eccezioni per i dirigenti.
3. Parti dalle persone a rischio: definisci un elenco degli utenti più esposti, aggiorna per primi i loro dispositivi e valuta per loro la Modalità di isolamento (Lockdown Mode) di Apple.
4. Gestisci i dispositivi esclusi: i modelli che non ricevono l’aggiornamento restano vulnerabili. Toglili dall’accesso ai dati aziendali o sostituiscili.
5. Prepara la risposta: non ci sono indicatori pubblici. Se sospetti che un dispositivo di una persona a rischio sia stato colpito, non ripristinarlo subito: isolalo dagli account aziendali, revoca sessioni e token e affidalo a un’analisi forense specializzata. Verifica che il piano di risposta agli incidenti preveda anche gli smartphone, non solo i computer.

Come aiuta ARXDOME

Sui Mac, l’agent di ARX Sentry raccoglie l’inventario di sistema e software, quindi mostra subito quali macchine hanno ancora una versione vulnerabile di macOS. ARX Shield elenca le vulnerabilità aperte per macchina e mette in evidenza quelle già sfruttate dagli attaccanti, come questa. ARX Horizon permette di consultare dal portale i dettagli delle vulnerabilità. Per iPhone e iPad il punto di controllo resta la console MDM.

Ultimo aggiornamento: 30 settembre 2026