Apple ha corretto una falla grave nel framework grafico CoreGraphics dopo aver avvisato che potrebbe essere già stata usata per violare un numero ridotto di iPhone e iPad selezionati con cura. La vulnerabilità CoreGraphics di Apple, identificata come CVE-2026-86950, è ora chiusa, ma il linguaggio scelto dall’azienda nel suo avviso suggerisce che il bug non fosse solo teorico: sembra sia stato sfruttato prima che esistesse una patch.

Punti chiave

• Apple ha corretto una falla zero-day in CoreGraphics, la CVE-2026-86950, che poteva permettere a un attaccante di eseguire codice arbitrario elaborando un file appositamente creato.
• Apple ha dichiarato che il bug “potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specificamente presi di mira” sulle versioni precedenti a iOS 27.
• A segnalare la vulnerabilità ad Apple è stato Meta Product Security; non sono stati condivisi ulteriori dettagli tecnici su scoperta o modalità d’attacco.
• La correzione è arrivata con iOS 26.7.1 e iPadOS 26.7.1.
• I dispositivi coinvolti vanno da iPhone 11 in su, oltre a diverse generazioni di iPad Pro, iPad Air, iPad e iPad mini.

Come funziona la vulnerabilità CoreGraphics Apple

Il problema si trova dentro CoreGraphics, il framework che Apple utilizza su iOS, iPadOS, macOS, watchOS e tvOS per gestire grafica bidimensionale, rendering delle immagini e disegno del testo. Una debolezza di tipo out-of-bounds write in quel framework significava che un dispositivo poteva essere indotto a scrivere dati fuori dallo spazio di memoria previsto — il tipo di falla che, nel peggiore dei casi, consegna a un attaccante la capacità di eseguire codice proprio sul dispositivo preso di mira.

Natura tecnica del bug

Secondo l’avviso di Apple, “l’elaborazione di un file appositamente creato può portare all’esecuzione di codice arbitrario”, e l’azienda ha spiegato di aver risolto il problema “con controlli sui limiti migliorati”. In pratica, un file trappola — Apple non ha rivelato il formato — potrebbe bastare per compromettere un iPhone o un iPad vulnerabile, a condizione che venga aperto o elaborato sul dispositivo.

L’attacco mirato dietro l’exploit

Ciò che rende questo caso diverso da una normale correzione di bug è la formulazione scelta dalla stessa Apple. L’azienda ha dichiarato: “Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specificamente presi di mira su versioni di iOS precedenti a iOS 27.” Questa scelta di parole allontana lo scenario da una campagna di exploitation di massa e lo avvicina a qualcosa di più circoscritto — il tipo di linguaggio che Apple ha storicamente riservato a operazioni simili a quelle degli spyware, indirizzate a un numero ristretto di persone piuttosto che al pubblico generale.

Apple non ha rivelato chi sia stato preso di mira, quante persone siano state coinvolte, chi sia responsabile degli attacchi né come esattamente sia stato veicolato l’exploit. Questi dettagli restano non divulgati, il che è tipico per le comunicazioni pubbliche di Apple relative a vulnerabilità sfruttate attivamente. L’azienda ha però attribuito a Meta Product Security la segnalazione della CVE-2026-86950, sebbene né Apple né Meta abbiano diffuso ulteriori informazioni tecniche su come la falla sia stata scoperta o utilizzata nella pratica.

Dispositivi e versioni software coinvolti

La vulnerabilità CoreGraphics di Apple riguarda una gamma ampia di hardware ancora in uso attivo, motivo per cui l’aggiornamento conta ben oltre una fascia ristretta di dispositivi recenti.

L’elenco dei dispositivi Apple interessati

L’avviso di Apple elenca come dispositivi coinvolti iPhone 11 e successivi, iPad Pro 12,9 pollici (terza generazione e successive), iPad Pro 11 pollici (prima generazione e successive), iPad Air (terza generazione e successive), iPad (ottava generazione e successive) e iPad mini (quinta generazione e successive).

Le versioni software colpite e la patch

La correzione è arrivata con iOS 26.7.1 e iPadOS 26.7.1. Apple ha specificato che l’attività di exploitation ha colpito dispositivi con versioni precedenti a iOS 27, senza però indicare esattamente quali release più vecchie fossero prese di mira. Questo dettaglio conta per chi deve decidere se aggiornare subito: gli attacchi descritti da Apple erano diretti contro dispositivi ancora sul ramo iOS 26, non contro quelli già passati alla nuova linea iOS 27.

Il contesto: settimo zero-day dell’anno per Apple

Non è la prima volta quest’anno che Apple si trova davanti a una exploitation attiva, e lo schema merita attenzione per chi segue quanto spesso gli attaccanti riescano ad anticipare le stesse difese dell’azienda. Secondo The Register, la CVE-2026-86950 rappresenta il settimo zero-day corretto da Apple nel 2026, ad aggiungersi a una lista crescente di vulnerabilità sorprese in uso prima che esistesse una patch.

Al di là del numero esatto usato come riferimento, la sostanza della vicenda resta la stessa: Apple continua a trovare e correggere falle solo dopo che emergono prove che qualcuno ha già trovato un modo per sfruttarle. È un ritmo familiare nella sicurezza mobile moderna, dove attacchi mirati in stile spyware contro individui specifici tendono a venire alla luce solo quando un fornitore si imbatte in prove forensi — spesso segnalate da ricercatori esterni piuttosto che scoperte internamente.

Questo pattern conta perché mostra i limiti della difesa perimetrale tradizionale: anche un’azienda con le risorse di Apple scopre certe falle solo a posteriori, grazie a segnalazioni esterne come quella arrivata da Meta Product Security. Per chi lavora nella sicurezza, è un segnale che gli attacchi zero-day contro obiettivi di alto valore restano difficili da intercettare prima del danno.

Cosa consiglia Apple agli utenti

L’indicazione di Apple per tutti gli altri utenti non è spettacolare ma è chiara: installare l’aggiornamento. Per chi ha ancora le versioni interessate installate, la patch zero-day per iOS chiude una strada che, secondo il racconto della stessa Apple, è già stata usata in almeno un attacco sofisticato. Aspettare per vedere come si concretizza davvero un “attacco estremamente sofisticato” non è un rischio che valga la pena correre, soprattutto per utenti ad alto valore come giornalisti, attivisti o dirigenti, che tendono a essere i bersagli più probabili di questo tipo di exploitation mirata e circoscritta.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.