Apple ha rilasciato il 11 febbraio 2026 patch che correggono CVE-2026-20700, una vulnerabilità zero-day nel componente dyld (Dynamic Link Editor) di iOS e macOS. Secondo Brian Milbier, deputy CISO di Huntress, la patch "chiude una porta che è rimasta aperta per oltre un decennio". L'exploitation confermata da Apple descrive attacchi "estremamente sofisticati contro individui specifici e mirati", un pattern che le fonti indicano come tipico del mercenary spyware commerciale.
La vulnerabilità è stata sfruttata in catena con CVE-2025-14174 e CVE-2025-43529, due zero-day in WebKit patchati a dicembre 2025. Le tre falle sono state identificate congiuntamente dall'Apple Security Team e dal Google Threat Analysis Group, in un raro esempio di coordinamento cross-vendor su zero-day attivamente sfruttate.
- CVE-2026-20700 è una memory corruption nel linker dinamico dyld che consente arbitrary code execution, secondo l'advisory Apple e SecurityWeek
- Apple conferma exploitation in the wild su versioni di iOS precedenti alla 26, con attacchi classificati come "estremamente sofisticati"
- La vulnerabilità dyld è stata presente per oltre dieci anni prima della scoperta, indicando un fallimento prolungato dei processi di detection su componente critico
- Le patch sono disponibili in iOS 26.3 e release legacy per dispositivi più vecchi; iOS 26.3 risolve circa 40 vulnerabilità, macOS Tahoe 26.3 oltre 50 difetti di sicurezza
Il meccanismo: memory corruption nel dynamic linker
CVE-2026-20700 riguarda il componente dyld, il linker dinamico responsabile del caricamento e del collegamento delle librerie condivise in tutti i sistemi operativi Apple. Secondo l'advisory ufficiale di Apple, si tratta di una memory corruption issue corretta con improved state management. SecurityWeek specifica che la vulnerabilità può essere sfruttata per arbitrary code execution.
Il dyld è un componente fondamentale del sistema operativo: si attiva ogni volta che un processo viene eseguito, gestendo la risoluzione dei simboli e il caricamento delle librerie dinamiche. Una compromissione a questo livello permette di intercettare e modificare il flusso di esecuzione prima che l'applicazione target venga effettivamente avviata, rendendo la detection post-compromissione particolarmente complessa.
La catena di exploit: da WebKit al core del sistema
L'attacco documentato da Apple non si basa su una singola falla, ma su una catena multi-stadio. CVE-2025-14174, un out-of-bounds memory access nella libreria grafica Angle utilizzata da Blink (Chrome) e WebKit, e CVE-2025-43529 costituiscono i primi anelli della catena. Secondo l'advisory Apple, entrambe le vulnerabilità WebKit sono state emesse "in risposta alla stessa segnalazione" di CVE-2026-20700.
CVE-2025-14174 è stato aggiunto al catalogo KEV (Known Exploited Vulnerabilities) di CISA, confermando la sua exploitation attiva. Google ha patchato questa stessa vulnerabilità una settimana prima di Apple, evidenziando una temporanea finestra di esposizione differenziata tra piattaforme. Il pattern — entry point via browser, escalation tramite vulnerabilità di sistema — rappresenta una tecnica consolidata nel panorama del mercenary spyware.
Il debito tecnico decennale: cosa non ha trovato Apple
La durata stimata della vulnerabilità — oltre dieci anni, secondo la dichiarazione di Milbier — solleva questioni concrete sui limiti dei processi di security review di Apple. Il vendor ha investito negli ultimi anni in architetture di memory safety come MIE (Memory Integrity Enforcement), progettate per prevenire exploitation di memory corruption a livello hardware. CVE-2026-20700 dimostra tuttavia che queste mitigazioni future non risolvono il debito tecnico accumulato su componenti core non ancora migrati a linguaggi memory-safe.
Il caso evidenzia un divario strutturale: la chiusura dell'ecosistema iOS, che impedisce l'installazione di strumenti EDR (Endpoint Detection and Response) di terze parti, lascia agli utenti e alle aziende una dipendenza esclusiva dalle capacità di detection interne di Apple. Quando queste falliscono per oltre un decennio su un componente così centrale, l'intero modello di sicurezza dell'ecosistema ne risulta indebolito.
"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26" — Apple Security Advisory
Cosa fare adesso
- Aggiornare immediatamente a iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 o visionOS 26.3, secondo quanto indicato da SecurityWeek
- Per dispositivi non supportati dalle release 26.x, applicare iOS 18.7.5, iPadOS 18.7.5, macOS Sequoia 15.7.4 o macOS Sonoma 14.8.4
- Verificare la presenza di CVE-2025-14174 nel catalogo KEV di CISA per eventuali valutazioni di rischio su sistemi che non possono essere aggiornati tempestivamente
- Considerare che la chiusura dell'ecosistema iOS impedisce soluzioni di detection di terze parti; le organizzazioni con esigenze di threat hunting avanzato devono valutare questa limitazione nel proprio modello di rischio
Domande e risposte
Perché una vulnerabilità così antica non è stata scoperta prima?
Il brief non specifica i motivi precisi del mancato rilevamento. Si osserva che dyld è un componente critico sottoposto a revisione continua, ma che memory corruption in codice legacy possono sfuggire sia alla analisi statica che dinamica quando non presentano pattern di accesso anomalo facilmente rilevabili. Apple non ha rilasciato dettagli sul processo che ha portato alla scoperta.
Il mio dispositivo è a rischio se non aggiorno subito?
Apple conferma exploitation su versioni precedenti a iOS 26. La fonte non specifica se l'attacco sia stato ampio o rigidamente mirato; il pattern "extremely sophisticated attack against specific targeted individuals" suggerisce una selezione di vittime, ma non esclude rischi per utenti non direttamente bersagliati, specialmente se la catena di exploit viene riutilizzata.
Chi è l'attributore degli attacchi a spyware commerciale?
Nessuna fonte nel dossier attribuisce pubblicamente la campagna a un vendor specifico. SecurityWeek, riportato da Slashdot, indica che "le descrizioni suggeriscono che potrebbero essere state sfruttate da vendor di spyware commerciale". Si tratta di un'indicazione di pattern, non di un'attribuzione confermata.
Il caso CVE-2026-20700 rivela un paradosso del settore: l'architettura chiusa e controllata di iOS, presentata come vantaggio di sicurezza, può diventare un punto di fragilità quando il vendor principale non identifica vulnerabilità persistenti nei propri componenti fondamentali. La coordinazione Google-Apple sulla disclosure mostra che nemmeno i maggiori attori del settore possono affrontare autonomamente queste minacce. Per le organizzazioni che gestiscono asset sensibili su dispositivi Apple, la lezione è che la "fiducia nel vendor" non sostituisce una valutazione indipendente del rischio, particolarmente in assenza di strumenti di visibilità di terze parti.
Fonti
- https://apple.slashdot.org/story/26/02/15/018217/apple-patches-decade-old-ios-zero-day-possibly-exploited-by-commercial-spyware
- https://www.darkreading.com/cybersecurity-operations/apple-patch-policy-ai
- https://support.apple.com/en-us/126346
- https://security.apple.com/blog/memory-integrity-enforcement/
- https://www.securityweek.com/apple-patches-ios-zero-day-exploited-in-extremely-sophisticated-attack/
- https://www.securityweek.com/apple-patches-two-zero-days-tied-to-mysterious-exploited-chrome-flaw/
- https://slashdot.org/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.