Apple ha rilasciato iOS 18.6.2 e iPadOS 18.6.2 il 20 agosto 2025 per corregere una singola vulnerabilità nel framework ImageIO, tracciata come CVE-2025-43300. Il difetto, un out-of-bounds write causato da bounds check insufficienti, è stato sfruttato in attacchi "estremamente sofisticati" contro "specifici individui mirati". La forma dell' advisory e il linguaggio utilizzato da Apple rientrano nel pattern storico delle campagne spyware commerciali, dove il targeting selettivo nasconde una superficie d'attacco molto più ampia: il parser multimediale di iOS.
- Il 20 agosto 2025 Apple ha distribuito iOS 18.6.2 e iPadOS 18.6.2 con una sola patch di sicurezza, CVE-2025-43300, per un out-of-bounds write nel framework ImageIO.
- La vulnerabilità permetteva l'esecuzione di codice arbitrario tramite un'immagine malevola, con potenziale attivazione in background durante preview o ricezione tramite app.
- Apple conferma l'utilizzo in attacchi reali contro "specifici individui mirati", terminologia associata a campagne spyware di alta qualità.
- La patch copre solo iPhone XS e modelli successivi, iPad Pro di terza generazione e successivi, iPad Air 3 e successivi, iPad mini 5 e successivi, iPad di settima generazione e successivi; i dispositivi più vecchi non ricevono il fix.
Il meccanismo: perché ImageIO resta un bersaglio privilegiato
Il framework ImageIO di Apple gestisce il parsing e la decodifica di formati immagine in tutto l'ecosistema iOS, iPadOS e macOS. La vulnerabilità CVE-2025-43300 risiede in un out-of-bounds write: bounds check insufficienti permettono a un'immagine malevola di causare scrittura oltre i limiti del buffer allocato, con conseguente corruzione della memoria. Apple ha corretto il difetto "adding tighter bounds checks", secondo la descrizione tecnica riportata dalla fonte.
La natura del framework — che processa immagini in background per anteprime, notifiche, condivisione e rendering app — rende plausibile un exploit zero-click, dove il dispositivo viene compromesso senza interazione consapevole dell'utente. La fonte cita esplicitamente lo scenario: "Your phone could be hit in the background while previewing an image or receiving it through an app". Questo vettore elimina il tradizionale anello debole dell'ingegneria sociale, tipico invece del phishing o dei link malevoli.
Non è specificato nella fonte quale app o protocollo di consegna abbia veicolato l'immagine malevola nei casi documentati. Il vettore potrebbe essere un servizio di messaggistica, email, o qualsiasi piattaforma che genera anteprime automatiche. Questo buco nella ricostruzione impedisce di definire contromisure selettive per l'utente finale.
La politica Apple: disclosure solo a patch avvenuta
Apple conferma tramite il proprio portale di supporto che "For the protection of our customers, Apple doesn't disclose, discuss, or confirm security issues until an investigation has occurred and patches or releases are generally available". Questa politica, documentata nei testi forniti, spiega perché il dettaglio della vulnerabilità sia emerso solo il 20 agosto 2025, contemporaneamente al rilascio di iOS 18.6.2.
Il modello di disclosure coordinata, pur proteggendo gli utenti dalla pubblicazione prematura di exploit verificabili, genera una finestra di vulnerabilità gestita internamente. Chi possiede hardware non più coperto da aggiornamenti di sicurezza non riceve alcuna informazione anticipata né, in questo caso, alcuna patch. La fonte osserva esplicitamente che "Older hardware didn't get the fix, which means anyone still holding onto older devices is stuck without protection".
Il profilo della minaccia: da "individui mirati" a superficie d'attacco
Apple descrive gli attacchi come "extremely sophisticated" e diretti a "specific targeted individuals". La fonte aggiunge un elemento di lettura: "That phrasing usually signals spyware campaigns against high-profile users like journalists, lawyers, and activists". Questa interpretazione, pur non essendo una conferma ufficiale Apple, si inserisce in un pattern documentato nel settore della sorveglianza commerciale, dove vendor come NSO Group (citato solo come analogia storica, non come attributo di questa campagna) hanno storicamente sfruttato vulnerabilità simili in iMessage e altri parser media.
Non emergono nelle fonti sovrapposizioni infrastrutturali che colleghino l'attore di questa campagna a gruppi threat noti. L'identità degli operatori, il numero di vittime, la geografia degli attacchi e il fornitore dello spyware, se esistente, restano non specificati. Ciò che è documentato è la capacità di sfruttamento attivo di una vulnerabilità zero-click in un componente di sistema ampiamente distribuito.
Perché è importante
La distribuzione di iOS 18.6.2 come aggiornamento monofocus — una sola patch di sicurezza — è un segnale di gravità che Apple riserva a flaw con sfruttamento confermato sul campo. La scelta di non includere altri fix minimizza la superficie di regressione, accelerando l'adozione, ma implica anche che il rischio sia stato giudicato superiore ai benefici di un rilascio cumulativo ritardato.
Il brief non documenta misure correttive specifiche per dispositivi esclusi dalla patch. Apple non elenca contromigazioni alternative, workaround di configurazione, o estensioni del supporto security-only per modelli precedenti all'iPhone XS. La fonte non specifica la natura esatta dei dati a rischio nei dispositivi compromessi, né se l'exploit ottenga privilegi elevati o persistenza oltre l'esecuzione iniziale.
Per il parco dispositivi aziendale, il caso conferma che il framework media parsing rimane una superficie d'attacco prioritaria per operazioni spyware. La gestione del ciclo di vita hardware — quando un modello esce dal supporto security patch — diventa variabile di rischio quantificabile, non solo obsolescenza funzionale.
"Apple says the bug was used in 'extremely sophisticated' attacks against 'specific targeted individuals.'"
Il dossier non specifica se CVE-2025-43300 abbia un punteggio CVSS assegnato nelle fonti ufficiali disponibili. Il valore CVSS 10 CRITICAL citato nei FATTI UFFICIALI VERIFICATI proviene da una fonte non identificata nel dettaglio del brief; nelle fonti primarie consultate il punteggio non è riportato testualmente. Questa lacuna non altera la valutazione operativa — sfruttamento attivo, zero-click, codice arbitrario — ma segnala un limite nella documentazione pubblica.
FAQ
Devo aggiornare anche se non sono un giornalista o attivista?
La fonte documenta attacchi contro "specifici individui mirati", ma il meccanismo zero-click in un parser di sistema espone qualsiasi dispositivo che riceva immagini. L'update è raccomandato per tutti i modelli coperti.
Perché iPhone X o 8 Plus non ricevono la patch?
Apple limita il supporto security a una generazione hardware definita. La fonte riporta esplicitamente che "Older hardware didn't get the fix" senza fornire motivazione tecnica dettagliata.
Esiste un modo per proteggere dispositivi non coperti?
Il brief non documenta workaround, contromisure di configurazione o tool di mitigazione per modelli precedenti all'iPhone XS.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://support.apple.com/en-us/100100
- https://forums.appleinsider.com/discussion/241452/update-now-ios-18-6-2-patch-stops-new-and-active-spyware-attacks
- https://support.apple.com/en-us/102657
- https://support.apple.com/en-us/111756
- https://support.apple.com/en-us/102549
- https://support.apple.com/en-us/128066
- https://support.apple.com/en-us/128067