Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Un file font malizioso può indurre il motore di rendering CoreText di Apple a leggere memoria al di fuori dei limiti previsti, divulgando informazioni sensibili. La vulnerabilità, tracciata come CVE-2026-112656 e divulgata nell'advisory ZDI-26-831 dalla Trend Micro Zero Day Initiative il 28 ottobre 2026, richiede solo che la vittima apra un documento o visiti una pagina web contenente il font compromesso.
- CVE-2026-112656 è un out-of-bounds read nel parsing dei ligature caret lists in font, nel componente CoreText di Apple macOS.
- L'attacco richiede interazione utente: apertura di file malizioso o visita a pagina web che ne causa il rendering.
- L'impatto primario è information disclosure; la stessa primitiva può essere concatenata con altre vulnerabilità per esecuzione di codice.
- Il CVE Record elenca dieci versioni patchate, ma l'advisory ZDI-26-831 conferma dettagli tecnici solo per macOS.
Il meccanismo della falla
Secondo l'advisory ZDI-26-831, la falla risiede nel "parsing of ligature caret lists in fonts". Il problema deriva dalla mancata validazione dei dati forniti dall'utente, che permette una lettura oltre la fine di un buffer allocato. Il CVE Record ufficiale descrive la correzione come "improved bounds checking", confermando che il difetto era proprio la insufficiente verifica dei confini nel parsing della struttura tipografica.
Il termine "ligature caret lists" si riferisce a una struttura nei font che definisce posizioni di inserimento del cursore all'interno di ligature — glifi composti che uniscono lettere. Le fonti primarie non specificano dettagli architetturali aggiuntivi sulle sottotabelle OpenType coinvolte.
"The specific flaw exists within the parsing of ligature caret lists in fonts. The issue results from the lack of proper validation of user-supplied data, which can result in a read past the end of an allocated buffer." — ZDI Advisory ZDI-26-831
Impatti e limiti verificati
L'advisory ZDI-26-831 classifica esplicitamente la vulnerabilità come information disclosure su "affected installations of Apple macOS". La formulazione è precisa: non si tratta di esecuzione remota diretta, ma di una primitiva di lettura di memoria di processo.
La stessa fonte aggiunge un elemento critico per la valutazione del rischio: "An attacker can leverage this in conjunction with other vulnerabilities to execute code in the context of the current process". La disclosure di memoria fornisce informazioni — indirizzi di base, layout di memoria — che possono rendere affidabile l'exploitation di una seconda falla.
Non emerge dalle fonti alcuna evidenza di sfruttamento in-the-wild precedente alla patch. Il ricercatore che ha scoperto la vulnerabilità non è nominato. Il CVSS score non è riportato nell'advisory ZDI.
Ambito delle patch: cosa confermano le fonti
Il CVE Record elenca dieci versioni di sistema con fix: iOS 26.7.2 e 27.2, iPadOS 26.7.2 e 27.2, macOS Golden Gate 27.2, macOS Sequoia 15.8.2, macOS Tahoe 26.7.2, tvOS 27.2, visionOS 27.2 e watchOS 27.2. Questo elenco documenta che Apple ha corretto la vulnerabilità su queste piattaforme.
Tuttavia, l'advisory ZDI-26-831 parla esplicitamente solo di "Apple macOS". Non è verificabile dalle fonti disponibili se il componente vulnerabile sia identico su iOS, iPadOS, tvOS, visionOS o watchOS, né se CoreText operi con la stessa superficie di parsing su tutte queste piattaforme. Il CVE Record elenca le versioni patchate ma non conferma che CoreText sia il componente condiviso su ciascuna di esse.
Non è possibile stabilire dalle fonti disponibili se CVE-2026-112656 compaia anche in advisory di sicurezza specifici pubblicati da Apple. La fonte Apple Support (support.apple.com/en-ca/149230) è troncata e non mostra questo identificatore nel testo estratto.
Cosa fare adesso
La priorità di patch dipende dal profilo di esposizione. Gli utenti che ricevono regolarmente documenti PDF da fonti esterne — professionisti, giornalisti, ricercatori, utenti aziendali — hanno una superficie di attacco più ampia e dovrebbero aggiornare con urgenza. Gli utenti con fonti di documenti controllate e limitate hanno un rischio intrinsecamente minore, ma non nullo: pagine web legittime compromesse possono veicolare font maliziosi.
Il criterio pratico è verificare la versione installata rispetto all'elenco delle patch nel CVE Record. Per macOS, le versioni corrette sono Sequoia 15.8.2, Tahoe 26.7.2 o Golden Gate 27.2. Per i dispositivi mobili, iOS e iPadOS 26.7.2 o 27.2. Non è nelle fonti alcuna indicazione su tempistiche di rilascio o disponibilità differenziata per regione.
Contesto e limiti della disclosure
La timeline mostra una segnalazione al vendor il 12 agosto 2026 e una pubblicazione coordinata il 28 ottobre 2026: una finestra di circa due mesi e mezzo. Questo intervallo è coerente con i tempi standard di coordinamento vendor-reporter nel programma ZDI.
Le fonti primarie per questo caso sono due: l'advisory ZDI-26-831, che fornisce dettagli tecnici e conferma CVE-2026-112656, e il CVE Record ufficiale, che elenca le versioni patchate. Non è disponibile una seconda fonte indipendente che confermi o contestualizzi il rischio reale di exploitation. L'analisi si basa quindi su una singola fonte primaria strutturata più il record CVE corroborante.
Per gli utenti, il rischio concreto rimane la potenziale divulgazione di memoria di processo durante il rendering di font non attendibili. Cosa possa leggere esattamente un attaccante oltre a "process memory" non è specificato nelle fonti: le fonti non dettagliano se la lettura sia circoscritta al solo spazio del parser font o possa estendersi più ampiamente.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.