Apple corregge 286 falle complessive e porta la patch per CVE-2026-86950 su dispositivi obsoleti

Apple ha distribuito iOS 27.2, iPadOS 27.2 e macOS Golden Gate 27.2 il 27 ottobre 2026, chiudendo 286 vulnerabilità di sicurezza complessive tra i due sistemi operativi. Il rilascio include il backport della fix per CVE-2026-86950 su iOS 18.7.11, estendendo la protezione a dispositivi che non supportano iOS 26 né iOS 27.

La zero-day CoreGraphics: meccanismo e cronologia

CVE-2026-86950 risiede nel framework CoreGraphics, il motore di rendering grafico 2D vettoriale di Apple. La falla è classificata come out-of-bounds write: durante il parsing di file costruiti ad arte, il framework scrive oltre i limiti di un buffer assegnato, aprendo la strada all'esecuzione di codice arbitrario.

Secondo BleepingComputer, che cita Apple, il difetto è stato corretto con "improved bounds checking". La vulnerabilità era già stata patchata in iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1 in un rilascio di fine settembre 2026. L'intervallo tra la prima fix e il backport su iOS 18 ha lasciato esposti dispositivi che non possono ricevere il ramo 26 né il 27.

"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27" — Apple, via BleepingComputer

L'attributione a Meta Product Security come scopritore è confermata da entrambe le fonti primarie editoriali. Non emergono informazioni pubbliche che identifichino le vittime o l'attore di minaccia. Apple non ha reso pubblici dettagli sul vettore di consegna: il tipo di file malevolo impiegato e il canale di distribuzione restano ignoti.

La dimensione del rilascio 27.2: numeri e componenti critici

Il rilascio del 27 ottobre 2026 è tra i più corposi della storia recente di Apple per volume di vulnerabilità gestite. Secondo SecurityWeek, i numeri si distribuiscono così: macOS Golden Gate 27.2 risolve 263 falle; iOS e iPadOS 27.2 ne risolvono 163; circa 140 sono condivise tra le due piattaforme, per un totale combinato di 286 vulnerabilità uniche.

Oltre a questi, Apple ha distribuito aggiornamenti paralleli: iOS/iPadOS 26.7.2 con 134 bug, macOS Tahoe 26.7.2 con 213, macOS Sequoia 15.8.2 con 197, tvOS 27.2 con 72, watchOS 27.2 con 62, visionOS 27.2 con 125 e Safari 27.2 con 33.

L'advisory ufficiale Apple per macOS 27.2 documenta specifiche tecniche aggiuntive: privilege escalation a root, sandbox escapes, bypass di Gatekeeper, corruzione della memoria del kernel e RCE in Remote Management. The Hacker News segnala inoltre CVE-2026-86987 in Apple Intelligence: un problema di autorizzazione che permette accesso remoto a dati sensibili utente, corretto con "improved entitlement checks".

Il backport su iOS 18: estensione insolita della protezione

La scelta di portare CVE-2026-86950 su iOS 18.7.11 rompe il pattern abituale di Apple. Cupertino tende a limitare le patch di sicurezza a due versioni principali del sistema operativo: il ramo corrente e quello precedente. L'estensione a iOS 18 avviene perché i dispositivi coinvolti non supportano ufficialmente iOS 26 né iOS 27.

Il backporting richiede adattamento del codice a un branch significativamente diverso. Per le organizzazioni con fleet eterogenee di device, la coesistenza di iOS 18, 26 e 27 come rami con aggiornamenti di sicurezza attivi aumenta la complessità di verifica e distribuzione.

Le informazioni tecniche derivano da fonti editoriali specializzate; non è disponibile un advisory strutturato indipendente per CVE-2026-86950. Le fonti primarie sono BleepingComputer e The Hacker News; l'advisory Apple per macOS 27.2 non contiene CVE-2026-86950, essendo dedicato al ramo 27.

Cosa fare adesso

• Gli utenti con iPhone XS, XS Max, XR, iPad 7th gen e successivi, iPad Air 4th gen e successivi, iPad 9th gen e successivi, iPad mini 6th gen e successivi devono installare iOS/iPadOS 18.7.11 per ricevere la protezione contro CVE-2026-86950.
• Gli utenti con device compatibili con iOS 27 devono aggiornare a iOS 27.2, che include la fix originale oltre a 163 vulnerabilità patchate.
• Gli amministratori IT devono verificare la presenza di device iOS 18 nella propria flotta e assicurarsi che ricevano iOS 18.7.11.
• Non sono disponibili informazioni pubbliche su exploit attivi per iOS 27: la minaccia documentata riguarda esplicitamente versioni precedenti a iOS 27.

Contesto e limiti delle fonti

Le informazioni su CVE-2026-86950 provengono da due fonti editoriali specializzate, non da advisory tecnici strutturati di tipo ZDI o GHSL. La citazione "improved bounds checking" è riportata da BleepingComputer che cita Apple, non da un advisory Apple diretto per questa CVE. La data della prima patch è indicata come "fine settembre 2026" dalle fonti; il giorno esatto non è specificato.

Apple non ha reso pubblici dettagli tecnici dell'exploit né ha identificato le vittime degli attacchi mirati. La natura "estremamente sofisticata" e il target di "individui specifici" indicano un attacco di tipo APT, non una campagna di massa.