Apple corretta ImageIO: un bug di parsing apre a RCE su otto sistemi operativi

Il 29 luglio 2026 TrendAI Zero Day Initiative ha reso pubblico l'advisory ZDI-26-492, che documenta una vulnerabilità nel framework ImageIO di Apple permette l'esecuzione remota di codice arbitrario. Il bug, identificato come CVE-2026-43780, è stato scoperto da Michael DePlante (@izobashi) del team ZDI e riportato ad Apple il 19 febbraio 2026: un coordinated disclosure window di circa cinque mesi che riflette la complessità del fix multipiattaforma rilasciato da Cupertino.

Il meccanismo: quando un troncamento diventa esecuzione di codice

Il framework ImageIO è il componente di sistema che Apple espone per il parsing e il rendering di formati grafici in tutte le sue piattaforme. Applicazioni di sistema, browser, client di posta e app di terze parti si appoggiano a questa libreria per decodificare immagini senza implementare parser propri.

Secondo l'advisory ZDI, il difetto specifico consiste in una mancata validazione dei dati forniti dall'utente in una texture, che causa un integer truncation prima dell'allocazione di un buffer. Il buffer risultante è più piccolo dei dati che verranno copiati al suo interno, generando un overflow che sovrascrive aree di memoria adiacenti. Da qui la possibilità di deviare il flusso di esecuzione verso payload controllati dall'attaccante.

Il record CVE ufficiale descrive il medesimo bug come "integer overflow" risolto con "improved input validation". La differenza terminologica — numeric truncation per ZDI, integer overflow per CVE — non indica due vulnerabilità distinte, ma due modi di descrivere la stessa classe di errore aritmetico nel calcolo della dimensione di allocazione.

"The specific flaw exists within the ImageIO framework. The issue results from the lack of proper validation of user-supplied data, which can result in an integer truncation before allocating a buffer." — ZDI Advisory ZDI-26-492

RCE vs "unexpected app termination": il gap tra disclosure commerciale e classificazione CVE

Un elemento che distingue questo caso è la divergenza tra il linguaggio dell'advisory e quello del record CVE ufficiale. ZDI dichiara esplicitamente che la vulnerabilità "allows remote attackers to execute arbitrary code" e che richiede "interaction with the ImageIO library", aggiungendo che "attack vectors may vary depending on the implementation".

Il record CVE, invece, conclude con un impatto attenuato: "Processing a maliciously crafted texture may lead to unexpected app termination". Questa discrepanza non è rara nei bug di corruzione di memoria. La classificazione CVE tende a descrivere l'outcome osservabile più immediato — il crash — mentre il ricercatore o il programma di bounty valutano il potenziale completo della vulnerabilità, inclusa l'elevazione a RCE attraverso tecniche di exploit sviluppate.

La fonte non fornisce il punteggio CVSS né un vettore di punteggio: questi dati non sono riportati né nell'advisory ZDI né nel record CVE al momento della consultazione.

La superficie di attacco: perché ImageIO è un bersaglio sensibile

ImageIO non è un componente marginale. È la porta di ingresso standard per ogni immagine che attraversa un dispositivo Apple: anteprime in Finder, allegati in Mail, contenuti in Safari, immagini in Messaggi, texture in giochi e app AR. La libreria è anche esposta ad app di terze parti tramite API pubbliche, il che espande il perimetro ben oltre il software Apple.

ZDI specifica che l'attaccante ottiene esecuzione "in the context of the current process". Questo significa che i privilegi effettivi dipendono dall'applicazione che elabora l'immagine. Un browser sandboxato limita l'impatto; un'app con privilegi estesi, o un processo di sistema, amplifica le conseguenze. La fonte non elenca quali implementazioni specifiche siano vulnerabili, ma la formulazione "attack vectors may vary depending on the implementation" implica che ogni app che invochi ImageIO su input non fidato è potenzialmente esposta.

Le patch coprono otto sistemi operativi, confermando che il bug non è circoscritto a macOS ma riguarda il codice condiviso dell'intero ecosistema Apple. Le versioni corrette, secondo il record CVE, sono: iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 e watchOS 26.6.

Cosa fare adesso

• Verificare la versione installata su ogni dispositivo Apple aziendale e personale: iOS/iPadOS 26.6, macOS Sequoia 15.7.8, Sonoma 14.8.8 o Tahoe 26.6, e i corrispettivi aggiornamenti per tvOS, visionOS e watchOS
• Prioritizzare gli endpoint esposti a contenuti esterni: workstation che elaborano attachment, anteprime di file, contenuti web o flussi di immagini da fonti non fidate
• Controllare l'eventuale presenza di app di terze parti che utilizzino ImageIO per il rendering batch o il processing server-side di asset grafici, dove il vettore potrebbe non richiedere interazione umana
• Monitorare le release notes Apple future per eventuali estensioni del perimetro di patch, dato che il record CVE elenca versioni corrette ma non specifica quali versioni precedenti fossero vulnerabili

Il coordinated disclosure window come indicatore di complessità

I circa 161 giorni tra il report del 19 febbraio e la disclosure coordinata del 29 luglio sono al di sopra della media per vulnerabilità di parsing in framework core. Questo intervallo suggerisce due dinamiche: la necessità di modificare codice condiviso tra otto sistemi operativi con diversi cicli di rilascio, e la cautela di Apple nel validare che il fix non introducesse regressioni nel rendering di formati grafici complessi.

La scelta di TrendAI di mantenere l'advisory sotto embargo per oltre cinque mesi — senza pubblicare dettagli parziali nel frattempo — indica anche una valutazione di rischio controllato, probabilmente basata sulla convinzione che la vulnerabilità non fosse attivamente sfruttata in modo da rendere l'embargo insostenibile. Le fonti non confermano né smentiscono esplicitamente la presenza di exploit in-the-wild.

La vulnerabilità rappresenta un caso studio significativo per la ricerca sulla sicurezza dei parser di immagini: componenti apparentemente passivi, ma siti su un confine di sicurezza critico tra dati non fidati e codice eseguito.

FAQ

Perché il record CVE non menziona l'RCE?

Il record CVE descrive l'outcome minimo garantito — il crash dell'app — mentre l'advisory ZDI, redatto dal ricercatore che ha sviluppato il proof-of-concept, documenta il potenziale completo. Questa discrepanza è frequente nei bug di corruzione di memoria, dove l'impatto effettivo dipende dalla capacità dell'attaccante di stabilire primitive di exploit affidabili.

Tutti i dispositivi Apple sono vulnerabili se non aggiornati?

Le fonti elencano otto sistemi operativi con patch specifiche. Il bug risiede in codice condiviso, quindi ogni dispositivo che esegua versioni precedenti a quelle indicate è potenzialmente esposto. La fonte non specifica se versioni più datate di macOS (pre-Sonoma) o altri OS non elencati siano interessati.

Cosa rende ImageIO un bersaglio attraente?

È un parser universale esposto a input non fidati con elevata probabilità di interazione automatica: un allegato di posta, un'anteprima in un browser, un'immagine in un'app di messaggistica. L'attaccante non deve indurre l'utente a compiere azioni complesse, ma solo a visualizzare o scaricare un file grafico.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-492/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-43780
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti