Apple Intelligence e iOS 27.2: corrette falle di sicurezza su iPhone e iPad
Per iPhone 11 e successivi e per gli iPad compatibili sono disponibili iOS 27.2 e iPadOS 27.2. Apple li ha rilasciati il 26 ottobre 2026. Secondo il documento di sicurezza pubblicato da Apple, correggono falle in decine di componenti: file manipolati, app che superano i permessi, kernel, Bluetooth e radio. Qui trovi i casi più rilevanti.
Quali dispositivi ricevono le correzioni
La maggior parte delle correzioni vale per questi modelli, indicati da Apple:
- iPhone 11 e successivi;
- iPad Pro 12,9 pollici di 4a generazione e successivi;
- iPad Pro 11 pollici di 2a generazione e successivi;
- iPad Air di 4a generazione e successivi;
- iPad di 9a generazione e successivi;
- iPad mini di 6a generazione e successivi.
La correzione per Apple Intelligence ha un perimetro più stretto: iPhone 15 Pro e successivi, iPad Pro 12,9 pollici di 5a generazione e successivi, iPad Pro 11 pollici di 2a generazione e successivi, iPad Air di 5a generazione e successivi e iPad mini di 7a generazione.
Apple precisa che non rivela, non discute e non conferma problemi di sicurezza finché non c’è stata un’indagine e non sono disponibili patch o versioni corrette.
Le falle che arrivano dall’esterno
Quattro correzioni riguardano attacchi che partono da un invio, da un file o da una pagina esterna al dispositivo. Secondo Apple:
- App Store, CVE-2026-112690: un attaccante remoto potrebbe uscire dal sandbox di WebContent. Apple ha risolto con una migliore validazione dell’input. La falla è stata scoperta da Claudio Bozzato e Francesco Benvenuto di Cisco Talos.
- Apple Intelligence, CVE-2026-86987: un attaccante remoto potrebbe accedere a dati sensibili dell’utente. Il problema di autorizzazione è stato risolto con controlli più rigorosi sui privilegi (entitlement). L’ha segnalata Richard Hyunho Im di Route Zero Security.
- CoreMedia, CVE-2026-112688: l’analisi di un file può causare la chiusura inattesa dell’app o l’esecuzione di codice arbitrario, per un problema di corruzione della memoria. Scoperta da 정우 하 (@0xfa11babe) e Chris Bailey di Short Circuit.
- Calendar, CVE-2026-112619: un invito di calendario manipolato può causare corruzione della memoria. Scoperta da Ivan Fratric di Google Project Zero.
File manipolati: immagini, PDF, font, audio e video
Un file costruito apposta può far chiudere l’app o corrompere la memoria. Apple elenca queste correzioni:
- PDF, CoreGraphics (CVE-2026-112611 e CVE-2026-112610): corruzione della memoria.
- Font, CoreGraphics (CVE-2026-113950): chiusura inattesa dell’app o corruzione della memoria di processo. Scoperta da Substrate e Stefan Esser (Calif).
- Immagine, Accelerate (CVE-2026-86971): chiusura inattesa dell’app.
- Video, AppleAVD (CVE-2026-112416 e CVE-2026-112454).
- File audio, Audio (CVE-2026-112546) e CoreAudio (CVE-2026-86972 e CVE-2026-113912).
- ColorSync (CVE-2026-86988): un’immagine manipolata può portare alla divulgazione della memoria di processo.
- CoreText (CVE-2026-112656): un font manipolato può avere lo stesso effetto. Scoperta da Nurihan Kim con la Zero Day Initiative di TrendAI.
App che superano i permessi: fotocamera, Bluetooth e dati personali
In questo gruppo il punto di partenza è un’app malevola. Apple ha corretto:
- CoreMedia, CVE-2026-86990: accesso alla fotocamera senza il permesso dell’utente. Scoperta da Mustafa Calap.
- AccessorySetupKit, CVE-2026-84493: accesso al Bluetooth senza il consenso dell’utente. Scoperta da Meta Red Team X (Nik Tsytsarkin).
- Accounts, CVE-2026-113898: aggiramento delle preferenze di privacy, per un problema di logging risolto con una migliore redazione dei dati.
- Accesso a dati sensibili dell’utente tramite Accounts (CVE-2026-112446), App Intents, App Store (CVE-2026-113914), CloudKit, Calendar (CVE-2026-112678), Contacts, CoreMedia (CVE-2026-112706), FileProvider e Files.
- Accounts, CVE-2026-112612: un attaccante con accesso fisico a un dispositivo associato come attendibile (trust-paired) potrebbe leggere e scrivere file arbitrari. Il problema di gestione dei percorsi è stato risolto con una migliore validazione.
Kernel e componenti multimediali
Apple ha sistemato diversi bug che permettono a un’app di far chiudere il sistema o di corrompere o scrivere la memoria del kernel. Riguardano Apple Neural Engine (CVE-2026-112696, CVE-2026-84494) e AVEVideoEncoder (CVE-2026-112705, CVE-2026-112689, CVE-2026-112470, CVE-2026-112469, CVE-2026-112468).
In AVEVideoEncoder, CVE-2026-112466, un’app può causare la chiusura del sistema o leggere la memoria del kernel. In Compression, CVE-2026-113910, un’app può divulgare memoria del kernel.
Vicinanza fisica e raggio radio
Due correzioni richiedono un attaccante nelle vicinanze. In Bluetooth, CVE-2026-112566 e CVE-2026-113906, chi è in prossimità fisica potrebbe causare un denial-of-service per una dereferenziazione di puntatore nullo; le ha scoperte Chris Bailey di Short Circuit. In CoreAudio, CVE-2026-112638, un attaccante nel raggio radio potrebbe causare la chiusura inattesa del sistema per un heap buffer overflow. L’hanno scoperta Përparim Mjeku e Altin Gashi.
