Apple patcha zero-day iOS decennale: dyld aperto a spyware…

Apple ha corretto CVE-2026-20700, una vulnerabilità in dyld presente per oltre un decennio e sfruttata in attacchi mirati. La catena di exploit coinvolge anche

Apple ha rilasciato il 15 febbraio 2026 — con riferimento a un aggiornamento pubblicato mercoledì 11 febbraio — una patch per CVE-2026-20700, una vulnerabilità zero-day nel componente dyld (Dynamic Link Editor) di iOS. La falla, classificata con CVSS 7.8 HIGH secondo il National Vulnerability Database, è stata sfruttata in attacchi estremamente sofisticati contro individui mirati. Il componente interessato è il linker dinamico che carica librerie condivise in memoria e connette il codice applicativo ai framework di sistema: una superficie così centrale rende la vulnerabilità particolarmente critica per la sicurezza dell'intero ecosistema mobile.

Punti chiave

CVE-2026-20700 è una vulnerabilità memory corruption in dyld, il linker dinamico di Apple, sfruttabile per arbitrary code execution con CVSS 7.8 HIGH
Apple conferma exploit in-the-wild in "attacchi estremamente sofisticati contro specifici individui mirati" su versioni di iOS precedenti alla 26
La vulnerabilità è stata identificata congiuntamente da Apple Security Team e Google Threat Analysis Group, con Google che ha patchato CVE-2025-14174 per Chrome una settimana prima di Apple
La stima di longevità superiore al decennio proviene da Brian Milbier, deputy CISO di Huntress, che descrive la patch come "chiude una porta rimasta aperta per oltre dieci anni"

Il meccanismo: memory corruption nel cuore del sistema

Secondo SecurityWeek, CVE-2026-20700 interessa il componente dyld e la memory corruption "può essere sfruttata per arbitrary code execution". Il dossier non specifica il meccanismo esatto di trigger della vulnerabilità né fornisce dettagli sulle condizioni precise di attivazione. Quel che è documentato è la gravità potenziale: la stessa fonte riporta una descrizione Apple che include "information exposure, denial-of-service, arbitrary file write, privilege escalation, network traffic interception, sandbox escape, and code execution".

La natura del componente dyld — che opera a livello di sistema durante il caricamento di ogni applicazione — amplifica l'impatto. Non si tratta di una falla isolata in un'app o in un framework periferico, ma di un elemento architetturale presente in ogni avvio di processo su iOS, iPadOS, macOS, tvOS, watchOS e visionOS. Apple ha distribuito patch per tutte queste piattaforme: iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3, visionOS 26.3, oltre a versioni per dispositivi legacy come iOS 18.7.5 e iPadOS 18.7.5.

La catena di exploit: da WebKit al kernel

L'attacco documentato non si basa su CVE-2026-20700 isolatamente. Apple collega esplicitamente la sua sfruttazione a CVE-2025-14174 e CVE-2025-43529, due zero-day patchati in WebKit a dicembre 2025. Secondo SecurityWeek, CVE-2025-14174 è una vulnerabilità out-of-bounds memory access in Chrome/Angle che impatta anche WebKit per condivisione della libreria Angle, mentre CVE-2025-43529 è una use-after-free in WebKit. Entrambe sono classificate CVSS 8.8 HIGH.

La sequenza suggerisce un attacco multi-stadio: il compromesso iniziale avviene via browser (WebKit/Chrome), seguito da escalation attraverso dyld per ottenere controllo persistente e privilegi elevati. Questa architettura di attacco è coerente con il modus operandi dello spyware commerciale mercenario, che tipicamente combina vulnerabilità di superficie con falle di privilegio per massimizzare l'accesso e la persistenza su dispositivi mobile.

La coordinazione temporale è significativa: Google ha patchato CVE-2025-14174 per Chrome una settimana prima delle patch Apple, indicando una disclosure coordinata cross-platform. CISA ha inserito CVE-2025-14174 nel catalogo KEV (Known Exploited Vulnerabilities), confermando lo sfruttamento attivo nel campo.

"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26. CVE-2025-14174 and CVE-2025-43529 were also issued in response to this report." — Apple Security Advisory

Spyware commerciale e il mercato delle falle iOS

SecurityWeek riporta che "le descrizioni suggeriscono che potrebbero essere state sfruttate da vendor di spyware commerciale". Il dossier non identifica il vendor specifico: non emergono sovrapposizioni infrastrutturali che colleghino l'attore a NSO Group, Intellexa o altri operatori noti allo stato attuale. Il pattern complessivo — targeting di individui specifici, sofisticazione tecnica, catena multi-vulnerabilità — è però coerente con il segmento mercenario del mercato spyware.

La citazione di Brian Milbier, deputy CISO di Huntress, pubblicata via Slashdot con riferimento a The Register, aggiunge una dimensione temporale critica: la patch "chiude una porta rimasta aperta per oltre dieci anni". Questa stima, sebbene non verificabile indipendentemente dalle fonti primarie tecniche, indica che la vulnerabilità dyld precedeva di gran lunga l'attuale ciclo di minacce spyware commerciale strutturato. La falla è sopravvissuta a generazioni di mitigazioni Apple — inclusi MIE (Memory Integrity Enforcement), PAC (Pointer Authentication Codes) e MTE (Memory Tagging Extension) documentati nel blog security.apple.com — che pure avevano ridotto la superficie di attacco memory corruption.

Il contrasto è netto: Apple presenta il proprio stack come "il più significativo upgrade alla memory safety", mentre una vulnerabilità preistorica nel linker dinamico restava sfruttabile. Questo non invalida le tecnologie di difesa, ma mostra i limiti di un modello di sicurezza interamente vendor-controlled: ciò che non è visibile alla ricerca interna o ai programmi bug bounty pubblici può persistere per anni, diventando materia prima per operatori capaci di investire in ricerca offensiva a lungo termine.

Perché è importante

Il dossier non specifica il numero esatto di vittime né la geografia degli attacchi. Non è documentato il vettore di consegna iniziale dell'exploit chain, né è chiaro se la vulnerabilità dyld esistesse prima dell'introduzione di iOS o sia stata introdotta con una versione specifica. La stima "nearly two decades" (quasi vent'anni) non è supportata dalle fonti disponibili: Huntress indica "over a decade" (oltre un decennio).

Il brief non documenta misure correttive specifiche oltre all'aggiornamento di sistema. La fonte non specifica la natura dei dati esposti negli attacchi confermati, né fornisce indicatori di compromissione per verifiche forensi. Il dossier non elenca azioni operative per dispositivi già compromessi o per il rilevamento di exploitation passata.

Quel che resta documentato è sufficiente a tracciare un quadro preoccupante: un componente sistemico di iOS, il sistema operativo mobile più diffuso al mondo, ha ospitato una vulnerabilità critica per un arco temporale che si misura in decenni, emergendo solo quando il mercato dello spyware commerciale ha reso il suo sfruttamento troppo costoso da ignorare. La collaborazione Apple-Google TAG ha funzionato per la disclosure, ma il time-to-discovery rimane una metrica non controllata.

La misura dell'ecosistema chiuso

Per le organizzazioni che gestiscono flotte iOS, l'episodio solleva questioni strutturali. Il modello "trust Apple only" mostra un punto cieco: la concentrazione della ricerca di sicurezza in un singolo vendor, per quanto risorsato, non garantisce la copertura temporale di tutte le superfici di attacco. La chiusura dell'ecosistema, vantata come difesa, diventa anche un fattore che limita la visibilità di terze parti su componenti come dyld.

Il contrasto con l'ecosistema Chrome — dove la patch di Google è arrivata con una settimana di anticipo — suggerisce che la competizione cross-platform nel tracciamento di spyware commerciale stia diventando un fattore di accelerazione. Non è chiaro se questo pattern si ripeterà sistematicamente: il dossier non lo documenta. Quel che è confermato è che per questa specifica catena di exploit, la coordinazione ha funzionato, ma con asimmetrie temporali che hanno lasciato gli utenti Apple esposti più a lungo.

Per il settore cybersecurity, l'incidente rafforza l'urgenza di framework di sicurezza terzi su piattaforme mobili e di ridurre i time-to-patch, specialmente contro minacce accelerate dall'intelligenza artificiale — anche se il dossier non collega direttamente questa vulnerabilità all'AI acceleration menzionata in fonti contestuali. Per i ricercatori, il valore della collaborazione vendor cross-platform è dimostrato. Per gli utenti, la raccomandazione implicita nell'advisory Apple è l'aggiornamento immediato: iOS 26.3 o, per dispositivi non supportati, le versioni legacy indicate.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti