Apple aggiorna macOS, iOS e iPadOS: decine di falle in WebKit, kernel e rete

Un nuovo ciclo di patch per i sistemi Apple

Apple ha pubblicato il 18 agosto 2026 un nuovo ciclo di aggiornamenti di sicurezza per macOS, iOS e iPadOS. La maggior parte degli interventi riguarda WebKit, il motore alla base di Safari, ma le correzioni coinvolgono anche componenti di sistema con accesso alla memoria, alle comunicazioni e al kernel.

Gli impatti descritti comprendono crash, corruzione della memoria, divulgazione di informazioni sensibili, evasione della sandbox, esfiltrazione di dati tra origini diverse ed esecuzione arbitraria di codice. Alcune vulnerabilità possono inoltre compromettere la memoria del kernel o consentire l’accesso a dati riservati dell’utente.

Apple non ha dichiarato che questi difetti siano stati sfruttati in attacchi reali. L’assenza di una conferma non riduce però la priorità degli aggiornamenti: WebKit è esposto durante la navigazione, mentre kernel e componenti di rete operano a livelli privilegiati del sistema.

macOS Tahoe 26.6.2 corregge 28 vulnerabilità

L’aggiornamento macOS Tahoe 26.6.2 risolve 28 vulnerabilità complessive. Di queste, 21 interessano WebKit e possono provocare crash di Safari o dei relativi processi, corruzione della memoria e divulgazione di informazioni sensibili.

Un difetto di memoria in un motore di rendering può diventare particolarmente pericoloso quando viene raggiunto attraverso una pagina web, un contenuto incorporato o una pubblicità manipolata. Il brief non indica una catena di attacco specifica, né conferma che sia possibile ottenere automaticamente l’esecuzione di codice tramite queste falle. Gli impatti dichiarati restano tuttavia compatibili con scenari che vanno oltre il semplice blocco del browser.

Le altre sette vulnerabilità riguardano Audio, ImageIO, IOGPUFamily e Kernel. Gli effetti potenziali includono:

• divulgazione di informazioni;
• denial of service;
• esecuzione arbitraria di codice;
• corruzione della memoria;
• terminazione o instabilità del sistema;
• esposizione o alterazione della memoria del kernel.

Kernel e IOGPUFamily sono componenti particolarmente sensibili perché gestiscono funzioni fondamentali del sistema operativo e dell’hardware. Un attacco riuscito a questi livelli potrebbe offrire capacità più ampie rispetto alla compromissione di una singola applicazione.

iOS 26.6.1 e iPadOS 26.6.1 aggiungono un problema in Telephony

iOS 26.6.1 e iPadOS 26.6.1 includono le stesse 28 correzioni già presenti in macOS Tahoe 26.6.2. I dispositivi mobili ricevono però anche una patch aggiuntiva per il componente Telephony.

La vulnerabilità potrebbe consentire di eludere l’autenticazione IPSec e intercettare il traffico di rete. IPSec protegge le comunicazioni attraverso meccanismi di autenticazione e cifratura; aggirare il controllo di autenticità può quindi esporre il traffico a intercettazione o manipolazione, a seconda della configurazione e del contesto operativo.

Il brief non specifica quali modelli di iPhone o iPad siano interessati, né descrive le condizioni necessarie per sfruttare la falla. Non è quindi possibile stabilire se l’attacco richieda accesso alla rete locale, una posizione privilegiata o altre circostanze particolari.

Queste versioni sembrano inoltre preparare il passaggio alle successive release principali di iOS e iPadOS, attese il mese prossimo. Per gli utenti che rimarranno sulla versione 26, l’aggiornamento di sicurezza resta comunque il percorso indicato per correggere i difetti già pubblicati.

La linea iOS 18 riceve oltre 120 correzioni

Apple ha distribuito anche iOS 18.7.10 e iPadOS 18.7.10, destinati ai dispositivi che utilizzano la precedente linea dei sistemi mobili. In questo caso le vulnerabilità risolte sono oltre 120, con più di 40 problemi localizzati in WebKit.

Gli impatti includono crash, corruzione della memoria, divulgazione di dati, uscita dalla sandbox ed esfiltrazione di informazioni tra origini diverse. Quest’ultimo scenario riguarda la possibilità di ottenere dati appartenenti a contesti web separati, una violazione dei confini che impediscono a un sito di leggere liberamente le informazioni di un altro.

La sandbox limita le attività che un processo può svolgere anche dopo essere stato compromesso. Un’evasione può quindi trasformare una vulnerabilità confinata al browser in un problema più ampio, soprattutto quando consente di raggiungere file, processi o servizi che dovrebbero rimanere isolati.

Gli aggiornamenti della serie iOS 18 correggono inoltre 18 vulnerabilità nel Kernel. Alcune possono permettere di corrompere o scrivere memoria del kernel, causare un arresto del sistema, divulgare memoria e stato sensibile del kernel, aggirare filtri di rete o accedere a dati riservati dell’utente.

Sono coinvolti anche Accessibility, AirDrop, App Store, AVEVideoEncoder, Contacts, CoreAudio, CoreMedia, Foundation, IOSkywalkFamily, Maps, MediaRemote, Model I/O, SceneKit, Siri e WebRTC. Per parte degli altri componenti non sono disponibili dettagli tecnici sufficienti per ricostruire il percorso di attacco.

Il catalogo KEV e lo stato dello sfruttamento

Non è noto se una o più vulnerabilità di questo ciclo siano state inserite nel catalogo Known Exploited Vulnerabilities della CISA. Di conseguenza, non è disponibile una data di inserimento né una scadenza specifica entro cui le organizzazioni debbano completare la mitigazione secondo quel catalogo.

Apple non dichiara inoltre che i difetti siano già stati sfruttati in attacchi reali. Non sono noti, sulla base delle informazioni disponibili, indicatori di compromissione, campagne attribuite a gruppi specifici o exploit pubblici collegati a queste correzioni.

Non è noto neppure se Apple abbia avuto altri precedenti recenti nel catalogo KEV. Il dato impedisce di collocare questo aggiornamento all’interno di una serie documentata di vulnerabilità Apple sfruttate attivamente.

L’assenza di una presenza nel KEV non equivale comunque a una valutazione di sicurezza favorevole. Le combinazioni di esecuzione di codice, accesso a dati sensibili, evasione della sandbox e compromissione del kernel meritano una gestione prioritaria, soprattutto sui dispositivi utilizzati per lavoro o collegati a reti non affidabili.

Cosa devono fare utenti e amministratori

Gli utenti dovrebbero installare senza ritardi la versione disponibile per il proprio dispositivo:

• macOS Tahoe 26.6.2;
• iOS 26.6.1;
• iPadOS 26.6.1;
• iOS 18.7.10;
• iPadOS 18.7.10.

La verifica può essere eseguita dalle impostazioni di aggiornamento del sistema. In ambiente aziendale, gli amministratori dovrebbero controllare la distribuzione tramite gli strumenti di gestione dei dispositivi, dando precedenza agli endpoint che navigano frequentemente sul web, trattano dati sensibili o accedono a reti pubbliche e non fidate.

Prima dell’installazione è opportuno verificare che i backup siano disponibili e che le applicazioni aziendali risultino compatibili con la versione prevista. Non è invece indicato fare affidamento su workaround specifici: non sono state rese note mitigazioni alternative capaci di sostituire le patch.

Fino al completamento degli aggiornamenti, è prudente limitare la navigazione verso siti non affidabili e l’apertura di contenuti ricevuti da fonti sconosciute. Queste misure riducono l’esposizione, ma non correggono le vulnerabilità: la protezione effettiva resta l’installazione delle versioni aggiornate.