Apple corregge RCE in ImageIO: numeric truncation in macOS Tahoe 26.6

Nota editoriale: Questo articolo si basa sull'advisory ZDI-26-492 con conferme dal CVE record e dall'advisory Apple. Alcuni dettagli di impatto rimangono non quantificati ufficialmente.

TrendAI Zero Day Initiative ha reso pubblico il 29 luglio 2026 l'advisory ZDI-26-492, che documenta una vulnerabilità nel framework ImageIO di Apple macOS. Il bug, identificato come CVE-2026-43780, deriva da un errore di numeric truncation nella gestione di texture malevole. Apple ha corretto il difetto con il rilascio di macOS Tahoe 26.6 e altre versioni aggiornate. La disclosure coordinata avviene cinque mesi dopo la segnalazione iniziale del ricercatore Michael DePlante, avvenuta il 19 febbraio 2026.

Il meccanismo: come un truncation integer può aprire alla RCE

Il framework ImageIO gestisce il parsing e la decodifica di immagini e texture su tutto l'ecosistema Apple. Secondo l'advisory ZDI-26-492, la vulnerabilità risiede nella mancata validazione di dati forniti dall'utente prima dell'allocazione di un buffer. Questo difetto produce un integer truncation: un valore numerico derivato dall'input viene silenziosamente troncato, generando una dimensione di allocazione errata.

L'errore aritmetico può aprire la strada a una sovrascrittura controllata della memoria. L'attaccante che fornisce una texture appositamente costruita potrebbe sfruttare la vulnerabilità per eseguire codice nel contesto del processo corrente.

"The issue results from the lack of proper validation of user-supplied data, which can result in an integer truncation before allocating a buffer. An attacker can leverage this vulnerability to execute code in the context of the current process." — TrendAI Zero Day Initiative, ZDI-26-492

Il bug rientra in una categoria di flaw che affligge da decenni i parser di formati media: la logica di elaborazione presuppone che dimensioni derivate da header o metadati rimangano entro limiti sicuri, senza verificare adeguatamente i vincoli aritmetici. Il risultato è una discrepanza tra il valore effettivo e quello utilizzato per il calcolo della memoria.

L'advisory ZDI specifica che "interaction with the ImageIO library is required to exploit this vulnerability but attack vectors may vary depending on the implementation". Questa indicazione suggerisce che il parser vulnerabile può essere raggiunto attraverso diversi percorsi applicativi, non limitati a una singola app o formato.

Dal CVE record alla patch: le versioni che correggono il bug

Il record ufficiale CVE-2026-43780, pubblicato da cve.org, descrive l'impatto come "Processing a maliciously crafted texture may lead to unexpected app termination". Questa formulazione differisce dalla gravità di RCE dichiarata nell'advisory ZDI. Il brief non chiarisce se questa differenza rifletta un impatto minimo garantito o una valutazione conservativa del programma CVE.

Apple ha corretto la vulnerabilità con "improved input validation", secondo quanto riportato sia dal CVE record che dall'advisory del vendor per macOS Tahoe 26.6. Le otto versioni patchate coprono l'intero ecosistema Apple: iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 e watchOS 26.6. L'elenco conferma che la stessa componente ImageIO è condivisa tra tutti i sistemi operativi della società.

La presenza di macOS Sonoma 14.8.8 indica che Apple ha esteso la correzione anche a versioni precedenti del sistema desktop, non limitandosi alla release maggiore più recente. Questa scelta suggerisce una valutazione di rischio sufficiente a giustificare il backporting del fix.

Cosa fare adesso

Gli utenti e gli amministratori di sistemi Apple devono prioritariamente verificare l'installazione degli aggiornamenti di sicurezza rilasciati il 29 luglio 2026. Le azioni specifiche sono:

• Aggiornare a macOS Tahoe 26.6, macOS Sequoia 15.7.8 o macOS Sonoma 14.8.8 a seconda della versione base in uso
• Applicare iOS 26.6, iPadOS 26.6, tvOS 26.6, visionOS 26.6 e watchOS 26.6 sui dispositivi mobili e indossabili gestiti
• Verificare che le app di terze parti che elaborano immagini o texture utilizzino le librerie di sistema aggiornate, poiché l'advisory ZDI indica che i vettori di attacco possono variare in base all'implementazione

Il dossier non specifica se esistano workaround temporanei né se Apple abbia rilasciato aggiornamenti di sicurezza out-of-band per versioni precedenti a quelle elencate. Non emergono indicazioni su eventuali exploitation attive.

FAQ: dubbi e chiarimenti

Qual è la differenza tra "unexpected app termination" e RCE?

L'advisory ZDI-26-492 descrive la vulnerabilità come RCE, mentre il CVE record riporta "unexpected app termination". Il brief non chiarisce quale spiegazione sia corretta. Questa discrepanza tra fonti rimane non risolta nel dossier.

Posso rimanere vulnerabile se non uso applicazioni Apple native?

Il brief indica che i vettori di attacco possono variare. Non è esplicitamente verificato che qualsiasi applicazione che richiami le API ImageIO possa innescare il parser vulnerabile.

È noto un CVSS score per questa vulnerabilità?

No. CVSS score e vector non sono stati resi pubblici dall'advisory ZDI o dal CVE record. Il brief esplicitamente segnala che questi dati mancano.

Quanto tempo è passato tra segnalazione e patch?

Cinque mesi: dal 19 febbraio 2026 (report al vendor) al 29 luglio 2026 (disclosure coordinata). Questa timeline rientra nel tipico ciclo di disclosure responsabile gestito da ZDI.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-492/
• https://www.cve.org/CVERecord?id=CVE-2026-43780
• https://support.apple.com/en-us/128067
• http://www.zerodayinitiative.com/advisories/published/
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/