Il 11 febbraio 2026 Apple ha distribuito patch per CVE-2026-20700, una vulnerabilità zero-day di memory corruption nel componente dyld, il linker dinamico che ogni app iOS invoca all'avvio. La falla, presente nel sistema operativo per oltre un decennio e potenzialmente per circa due decadi, è stata sfruttata in attacchi estremamente sofisticati contro individui specifici, concatenata con due zero-day WebKit già patchati a dicembre 2025.
- CVE-2026-20700 è una memory corruption nel dyld di Apple: un attaccante con capability di memory write ottiene arbitrary code execution
- Apple conferma exploitation in the wild in "extremely sophisticated attack against specific targeted individuals" su versioni precedenti a iOS 26
- La catena di attacco coinvolge CVE-2025-14174 e CVE-2025-43529, due zero-day WebKit identificati da Apple Security Team e Google Threat Analysis Group
- Le versioni che includono la patch sono iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3, visionOS 26.3, oltre a release legacy per dispositivi più vecchi
Il dyld: un singolo punto di fallimento per vent'anni di aggiornamenti
Il Dynamic Link Editor (dyld) è il componente di sistema responsabile del caricamento delle librerie dinamiche in memoria. Ogni applicazione iOS, dal primo iPhone OS del 2007 in poi, dipende da questo meccanismo per risolvere simboli e collegare codice eseguibile. La natura universale di dyld lo rende un obiettivo di eccezionale valore per attaccanti sofisticati: comprometterlo significa compromettere il punto di ingresso di ogni processo utente.
Secondo l'advisory ufficiale di Apple, CVE-2026-20700 è una "memory corruption issue" corretta con "improved state management". L'impatto dichiarato è netto: "attacker with memory write capability may be able to execute arbitrary code". La formulazione "with memory write capability" indica che la vulnerabilità non è raggiungibile da remoto in isolamento, ma richiede un prerequisito di accesso alla memoria, tipicamente ottenuto attraverso un'altra falla, in questo caso le due zero-day WebKit.
Brian Milbier, deputy CISO di Huntress, ha commentato che la patch "closes a door that has been unlocked for over a decade". Un osservatore su Slashdot ha notato che, se questa cronologia è accurata, anche Chrome, che condivide codebase originario con WebKit, sarebbe stato esposto per un periodo comparabile. Il dossier non documenta la data esatta di introduzione della vulnerabilità nel codebase, né conferma indipendente la durata di "nearly two decades" rispetto a "over a decade".
La catena multi-stadio: da WebKit al sistema operativo
L'exploitation di CVE-2026-20700 non è avvenuta in isolamento. Apple collega esplicitamente la falla dyld a "attacks involving CVE-2025-14174 and CVE-2025-43529", due zero-day WebKit corretti a dicembre 2025. Questa architettura di attacco riflette il pattern classico degli spyware mercenario: una prima compromissione del browser o del motore di rendering per ottenere primitive di memory write, seguita dall'escalation al kernel o a componenti di sistema tramite vulnerabilità come quella nel dyld.
Secondo SecurityWeek, le descrizioni delle tre vulnerabilità "suggest that they might have been exploited by commercial spyware vendors". Il pattern di scoperta congiunta da parte di Apple Security Team e Google Threat Analysis Group è storicamente associato a questo tipo di minaccia. Il dossier non identifica il vendor specifico, né fornisce il numero di vittime. Apple descrive gli attacchi come "extremely sophisticated" e diretti a "specific targeted individuals", escludendo una diffusione di massa.
CVE-2025-14174 è una memory corruption nella libreria grafica Angle di WebKit con CVSS 8.8; CVE-2025-43529 è un use-after-free nel medesimo componente, con identico punteggio. Entrambe permettono l'esecuzione di codice arbitrario nel contesto del browser, aprendo la strada alla successiva compromissione di dyld.
Il patching reattivo incontra i limiti del tempo
La release di febbraio 2026 risolve CVE-2026-20700 su iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3 e le varianti per tvOS, watchOS e visionOS. Per dispositivi non compatibili con le release principali, Apple ha distribuito iOS 18.7.5, iPadOS 18.7.5, macOS Sequoia 15.7.4 e macOS Sonoma 14.8.4. Il provvedimento citato non specifica se la vulnerabilità dyld fosse presente in tutte le versioni intermedie.
Nello stesso aggiornamento, iOS e iPadOS 26.3 risolvono "nearly 40 vulnerabilities", mentre macOS Tahoe 26.3 ne corregge "over 50 security defects", secondo SecurityWeek. Questi numeri contestualizzano CVE-2026-20700 all'interno di un ciclo di patching di ampia portata, senza tuttavia attenuare la gravità specifica di una zero-day sfruttata attivamente.
"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26" — Apple Support Advisory, CVE-2026-20700
Memory Integrity Enforcement: la risposta strutturale di Apple
La persistenza di una vulnerabilità di memory corruption in un componente così fondamentale solleva questioni sui limiti del patching reattivo. Nel giugno 2026, successivamente all'evento, Apple ha pubblicato su security.apple.com una trattazione tecnica su Memory Integrity Enforcement (MIE), PAC (Pointer Authentication Codes) e EMTE (Enhanced Memory Tagging Extension). Il documento non descrive direttamente CVE-2026-20700, ma afferma che "the only system-level iOS attacks we observe in the wild come from mercenary spyware, which is vastly more complex than regular cybercriminal activity and consumer malware".
MIE rappresenta l'evoluzione della strategia Apple: invece di correggere individualmente ogni bug di memory safety, l'architettura hardware-software impedisce la manipolazione di puntatori e metadata di allocazione anche in presenza di vulnerabilità non ancora scoperte. La contemporanea esistenza di CVE-2026-20700 per vent'anni e dell'introduzione di MIE nel 2026 illustra la transizione da una difesa basata sulla velocità di risposta a una basata sulla riduzione della superficie d'attacco intrinseca.
Perché è importante
Il dossier non documenta misure correttive specifiche per gli utenti oltre l'aggiornamento del sistema operativo. La fonte non specifica se la vulnerabilità sia stata introdotta in iPhone OS 1.0 o in una release successiva, né fornisce dettagli tecnici completi del meccanismo di exploitation della catena dyld-WebKit. Il CVSS score non è riportato nelle fonti disponibili, sebbene il record CVE-2026-20700 nel National Vulnerability Database assegni 7.8 HIGH.
La fonte non identifica il vendor di spyware commerciale coinvolto, né il numero esatto di individui mirati. Non emerge conferma che la stessa vulnerabilità fosse presente in codebase non Apple, sebbene il commento su Slashdot suggerisca una possibile sovrapposizione storica con Chrome attraverso il retaggio WebKit.
L'assenza di audit di sicurezza decennali su componenti come dyld rimane un limite strutturale del settore: le patch si accumulano, ma il codice fondamentale riceve verifica solo quando una falla emerge in attacchi reali.
Apple ha corretto la vulnerabilità. La durata della finestra di esposizione, tuttavia, è una metrica che il settore della sicurezza non può più permettersi di ignorare.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://apple.slashdot.org/story/26/02/15/018217/apple-patches-decade-old-ios-zero-day-possibly-exploited-by-commercial-spyware
- https://support.apple.com/en-us/126346
- https://security.apple.com/blog/memory-integrity-enforcement/
- https://www.securityweek.com/apple-patches-ios-zero-day-exploited-in-extremely-sophisticated-attack/
- https://www.securityweek.com/apple-patches-two-zero-days-tied-to-mysterious-exploited-chrome-flaw/
- https://slashdot.org/