Safari, scoperta UAF in JavaScriptCore: patch Apple già disponibili

Il 24 agosto 2026 TrendAI Zero Day Initiative ha reso pubblica l'advisory ZDI-26-610 su una vulnerabilità use-after-free nel motore JavaScriptCore di Apple Safari. La falla, tracciata come CVE-2026-64715 con punteggio CVSS 8.8 secondo la classificazione ZDI, consente esecuzione remota di codice nel renderer del browser quando l'utente visita una pagina web malevola o apre un file compromesso. Apple ha rilasciato le patch nello stesso giorno della disclosure coordinata.

La falla nel cuore del compilatore JIT di Apple

Il difetto specifico si annida nella fase ReduceStrength della pipeline B3 (Bare Bones Backend) di JavaScriptCore. Come documenta l'advisory ZDI-26-610, il problema deriva dalla mancata validazione dell'esistenza di un oggetto prima che il compilatore esegua operazioni su di esso. Questa condizione di use-after-free si traduce in corruzione di memoria controllabile dall'attaccante.

Il compilatore B3 rappresenta uno dei backend JIT di Apple per l'esecuzione ottimizzata di JavaScript. La fase ReduceStrength si occupa di semplificare le operazioni aritmetiche e logiche durante l'ottimizzazione del codice intermedio. La complessità intrinseca di queste trasformazioni, combinate con la gestione manuale della memoria in zone specifiche del motore, crea una superficie d'attacco che i ricercatori continuano a dimostrare fertile.

"The specific flaw exists within the B3 ReduceStrength phase. The issue results from the lack of validating the existence of an object prior to performing operations on the object. An attacker can leverage this vulnerability to execute code in the context of the renderer process." — ZDI Advisory ZDI-26-610

Da corruzione di memoria a esecuzione di codice nel renderer

L'impatto dichiarato è l'esecuzione remota di codice arbitrario nel contesto del processo renderer di Safari. Secondo l'advisory ZDI, "User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file". Questa formulazione indica un attacco di tipo drive-by-download o apertura di documento allegato, senza necessità di autenticazione o privilegi pregressi.

Il renderer process opera in sandbox sui sistemi Apple moderni, il che delimita il raggio d'azione immediato dell'exploit. Il dossier non documenta tecniche di escape sandbox né meccanismi di escalation locale: l'impatto confermato si ferma all'esecuzione nel contesto isolato del motore di rendering. Questo rappresenta comunque un rischio significativo per furto di dati di sessione, manipolazione del DOM e potenziale concatenazione con altre vulnerabilità.

Timeline e attribuzione della scoperta

La vulnerabilità è stata scoperta da Hossein Lotfi, operante con il handle @hosselot e affiliato a TrendAI Zero Day Initiative. La segnalazione privata ad Apple risale al 16 luglio 2026. La pubblicazione coordinata è avvenuta il 24 agosto 2026, dopo circa 39 giorni di ciclo di remediation.

Apple ha confermato la natura della falla nella propria advisory di sicurezza con la formula standard: "A use-after-free issue was addressed with improved memory management". Il vendor attribuisce esplicitamente il credito a Hossein Lotfi di TrendAI Zero Day Initiative per CVE-2026-64715. La convergenza tra fonte indipendente (ZDI) e vendor (Apple) su meccanismo, identificatore CVE e attribuzione rende il quadro documentale particolarmente solido.

Cosa fare adesso

• Aggiornare Safari alla versione 26.6.1 o successiva su macOS, e verificare che iOS/iPadOS siano alla versione 18.7.10, 26.6.1 o successive secondo il branch di riferimento
• Su macOS Tahoe, applicare l'aggiornamento 26.6.2 che include la correzione per CVE-2026-64715
• Verificare nelle impostazioni di sistema che gli aggiornamenti automatici di sicurezza siano attivi per ridurre la finestra di esposizione a vulnerabilità future del motore di rendering
• Limitare la navigazione su siti non attendibili fino al completamento dell'aggiornamento, dato che l'exploit si innesca alla semplice visita di pagina malevola

Perché la fase ReduceStrength resta territorio minato

La scoperta di Lotfi si inserisce in un pattern consolidato: le ottimizzazioni JIT, per quanto decisive per le prestazioni dei browser moderni, accumulano complessità che sfugge alla verifica statica. La fase ReduceStrength manipola espressioni algebriche e operazioni su puntatori in un contesto dove la garbage collection e l'allocazione manuale convivono. Quando un oggetto viene liberato e un riferimento persiste nel grafo di ottimizzazione, il compilatore genera codice che opera su memoria riassegnata: l'attaccante controlla il contenuto e dirotta l'esecuzione.

Il caso documenta inoltre l'efficacia del modello di disclosure coordinata attraverso programmi specializzati come ZDI. I circa 39 giorni trascorsi tra segnalazione e patch riflettono un equilibrio tra pressione per la tempestività e complessità della correzione in un motore JavaScript di vasta diffusione. L'assenza di segnalazioni di exploit in-the-wild prima della correzione, sebbene non documentata nel dossier come certezza, lascia intendere che il ciclo abbia contenuto il rischio prima della divulgazione pubblica.

Per gli utenti Apple, la vicenda ribadisce una costante: il motore di rendering è il perimetro più esposto del sistema operativo, e ogni aggiornamento di sicurezza per Safari o iOS va applicato con priorità equivalente a quelli del kernel.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-610/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-64715
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://support.apple.com/en-us/148286
• https://www.trendmicro.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti