Apple patcha zero-day in dyld: una falla nascosta per oltre un…

CVE-2026-20700 ha CVSS 7.8 ed è attivamente sfruttata contro individui mirati. Apple ha rilasciato patch il 11 febbraio 2026 per iOS, macOS e altri sistemi.

Apple ha rilasciato il 11 febbraio 2026 aggiornamenti di sicurezza per correggere CVE-2026-20700, una vulnerabilità zero-day attivamente sfruttata nel componente dyld (Dynamic Link Editor) dei suoi sistemi operativi. La falla, classificata con CVSS 7.8 dal CISA-ADP secondo il record NVD, è descritta come un problema di memory corruption.

Secondo quanto riportato da Slashdot citando SecurityWeek, Brian Milbier, deputy CISO di Huntress, ha commentato che la patch "chiude una porta rimasta aperta per oltre un decennio". La scoperta è attribuita al Google Threat Analysis Group (TAG).

Punti chiave

CVE-2026-20700 è una vulnerabilità zero-day in dyld, il linker dinamico di Apple, con CVSS 7.8 e vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H secondo il CISA-ADP nel record NVD.
Apple conferma sfruttamento in "extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26"; la scoperta è attribuita al Google Threat Analysis Group (TAG).
Le patch rilasciate l'11 febbraio 2026 coprono iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 e visionOS 26.3, oltre a versioni legacy specifiche.
La stessa campagna di attacco ha impiegato altre due zero-day già patchate a dicembre 2025: CVE-2025-14174 (out-of-bounds in ANGLE Metal renderer, CVSS 8.8) e CVE-2025-43529 (use-after-free in WebKit, CVSS 8.8).

Il meccanismo: cos'è dyld e come funziona la vulnerabilità

Dyld è il linker dinamico di Apple: carica librerie condivise, risolve simboli e gestisce la mappatura in memoria per ogni processo. L'advisory Apple per iOS 26.3 descrive la correzione come "a memory corruption issue was addressed with improved state management".

Il vettore CVSS conferma la natura locale del problema: AV:L (Attack Vector: Local), con privilegi PR:L (Privileges Required: Low) e nessuna interazione utente necessaria (UI:N). Il CISA-ADP nel record NVD classifica la vulnerabilità come CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer.

Apple non ha pubblicato dettagli tecnici aggiuntivi sulle condizioni di innesco. La natura locale della vulnerabilità suggerisce che l'attaccante necessiti già di un punto d'appoggio sul dispositivo, coerente con il modello di attacco mirato documentato.

La campagna di attacco: tre zero-day collegate

Il testo verbatim dell'advisory Apple, citato da The Hacker News, precisa che la stessa segnalazione del Google TAG ha generato tre identificatori CVE distinti. CVE-2026-20700 è l'elemento locale della catena; CVE-2025-14174 e CVE-2025-43529, già corretti a dicembre 2025, forniscono i vettori iniziali.

La prima è un out-of-bounds in ANGLE Metal renderer, con CVSS 8.8; la seconda è un use-after-free in WebKit, anch'esso con CVSS 8.8. Entrambe erano state patchate da Apple il 16 dicembre 2025.

Apple non nomina operatori specifici né conferma l'attribuzione a vendor di spyware. Slashdot, citando SecurityWeek, riporta che le descrizioni degli attacchi "suggest that they might have been exploited by commercial spyware vendors". Questa è un'ipotesi di fonti esterne, non una conferma del vendor.

"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26." — Apple Inc., advisory di sicurezza

Il catalogo CISA e l'obbligo federale di patch

Il record NVD per CVE-2026-20700 riporta l'inserimento nel CISA Known Exploited Vulnerabilities Catalog con data 5 marzo 2026, secondo le disposizioni della Binding Operational Directive 22-01. Le agenzie federali statunitensi devono applicare le mitigazioni entro quella scadenza.

Il CISA-ADP assegna il punteggio di 7.8, mentre l'assessment NVD proprio risulta "N/A". La presenza nel KEV eleva CVE-2026-20700 da vulnerabilità tecnica a problema di governance IT. Per le organizzazioni con presenza negli Stati Uniti o con contratti federali, la scadenza del 5 marzo è vincolante.

Il contesto storico è rilevante: nel 2025 Apple ha patchato 9 zero-day sfruttate in the wild. CVE-2026-20700 è la prima zero-day attivamente sfruttata patchata da Apple nel 2026.

Cosa fare adesso

Aggiornare immediatamente a iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 o visionOS 26.3; su dispositivi non compatibili con la release principale, verificare la disponibilità di iOS 18.7.5, iPadOS 18.7.5, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 o Safari 26.3 secondo le release notes Apple.
Verificare la compliance CISA KEV se l'organizzazione rientra nel perimetro della Binding Operational Directive 22-01: la scadenza per CVE-2026-20700 è il 5 marzo 2026.
Monitorare i dispositivi iOS precedenti alla versione 26: Apple specifica che gli attacchi documentati hanno colpito versioni precedenti a iOS 26.
Consultare le advisory Apple per i dettagli sui modelli supportati e sulle versioni legacy disponibili.

Contesto e limiti delle fonti

Il dossier si basa su una fonte primaria strutturata (l'advisory Apple per iOS 26.3), una fonte giornalistica specializzata (The Hacker News) e un'analisi di esperto citata da fonti secondarie (Slashdot/SecurityWeek). Apple non ha confermato la cronologia precisa dell'introduzione del bug nel codice: la claim "decade-old" si basa sulla dichiarazione di Milbier, non su analisi tecnica verificabile indipendentemente.

Non sono disponibili dettagli sulla catena di exploit completa, sul numero di vittime o sulla geografia degli attacchi. Apple non ha rilasciato indicatori di compromissione (IoC) specifici né ha confermato l'identità degli operatori di attacco.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti