CISA aggiunge allo storico Apple zero-day CVE-2025-43300: CVSS…

CISA ha catalogato CVE-2025-43300, out-of-bounds write in Apple ImageIO con CVSS 10.0 CRITICAL. Scade l'11 settembre 2025 il termine per le agenzie federali. Apple

CISA ha inserito CVE-2025-43300 nel Known Exploited Vulnerabilities Catalog il 21 agosto 2025, impostando il termine di patching per le agenzie federali civili all'11 settembre 2025 in base al Binding Operational Directive 22-01. Apple ha confermato che la vulnerabilità, un out-of-bounds write nel framework ImageIO, è già stata sfruttata in attacchi mirati estremamente sofisticati contro individui specifici. Il bug è zero-click: basta elaborare un'immagine malevola per innescare la compromissione, senza alcuna interazione da parte della vittima.

Punti chiave

CISA ha assegnato deadline 11 settembre 2025 per il patching obbligatorio su tutte le agenzie federali civili, con severity rating 8.8/10 secondo la stima degli ufficiali CISA riportata da The Record.
Il CISA-ADP assegna alla stessa vulnerabilità CVSS 3.1 score 10.0 CRITICAL, con vettore completo di rete, assenza di interazione utente e impatto massimo su confidenzialità, integrità e disponibilità secondo il record NVD.
Apple conferma exploit in attacchi "extremely sophisticated" contro target specifici: il vettore è l'elaborazione di immagini malevole via messaggi, email o contenuto web.
Le patch coprono iOS 18.6.2, iPadOS 18.6.2, iPadOS 17.7.10, iOS/iPadOS 16.7.12, iOS/iPadOS 15.8.5, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8 e macOS Ventura 13.7.8 secondo il record CVE ufficiale.

Perché ImageIO resta il bersaglio preferito degli spyware vendor

Il framework ImageIO di Apple gestisce il parsing e la decodifica di immagini in tutto l'ecosistema iOS, iPadOS e macOS. La sua posizione architetturale lo rende particolarmente appetibile: elabora file multimediali ricevuti da qualsiasi canale prima che l'utente li apra consapevolmente. Un bug di memory corruption come l'out-of-bounds write documentato in CVE-2025-43300 consente di sovrascrivere regioni di memoria al di fuori dei limiti allocati, con potenziale esecuzione di codice arbitrario nei privilegi del processo ImageIO.

Il punto rilevante è che Apple aveva introdotto contromisure volte a ridurre la superficie d'attacco zero-click, tra cui il blocco dei link da mittenti sconosciuti in iMessage. Questa misura ha spostato l'interesse degli attori verso formati che non richiedono clic consapevole: le immagini, che ImageIO elabora automaticamente nella maggior parte delle applicazioni di comunicazione.

Zero-click, zero difesa: come funziona la catena di attacco

La caratteristica determinante di CVE-2025-43300 è l'assenza di interazione utente. Mayuresh Dani, security research manager di Qualys, descrive il meccanismo: "This is a zero-click exploit that requires no user interaction, and can be triggered simply by processing a maliciously crafted image file, which could be delivered through various channels including messages, emails, or web content". La citazione è tratta dall'analisi pubblicata da The Record.

Questo profilo rende inutile gran parte delle raccomandazioni comportamentali standard. La vittima non deve aprire allegati sospetti, non deve seguire link, non deve ignorare avvisi di sicurezza. L'immagine viene elaborata dal sistema operativo in background, e il bug di bounds checking fallito permette l'overwrite di memoria contigua. Da qui, con tecniche di exploit avanzate, si raggiunge l'esecuzione di codice.

Il record NVD specifica il vettore di attacco come di rete (AV:N), con complessità di attacco bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione utente (UI:N) e scope cambiato (S:C). La combinazione produce il punteggio massimo di 10.0 nella scala CISA-ADP, anche se il rating CISA interno è stimato a 8.8/10. Il dossier non chiarisce la ragione di questa discrepanza tra le due metriche.

"Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals" — Apple Inc., advisory security content

Cosa fare adesso

Aggiornare immediatamente tutti i dispositivi Apple alla versione patchata indicata nel record CVE: iOS/iPadOS 18.6.2, iPadOS 17.7.10, iOS/iPadOS 16.7.12, iOS/iPadOS 15.8.5, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8, macOS Ventura 13.7.8.
I contractor e fornitori che operano per agenzie federali civili devono garantire il completamento del patching entro l'11 settembre 2025 per rispettare il vincolo BOD 22-01 di CISA, con audit di conformità documentata.
Valutare il filtraggio a livello gateway dei contenuti multimediali non richiesti, in particolare immagini da mittenti non verificati, come mitigazione di contenimento fino all'applicazione delle patch.
Monitorare l'inclusione di CVE-2025-43300 nei feed di threat intelligence per rilevare eventuali varianti o evoluzioni della tecnica di exploit, dato che il nucleo del bug riguarda il parsing generico di immagini.

La differenza tra CVSS 10 e targeting stretto: una lettura sui numeri

Satnam Narang, senior staff research engineer di Tenable, articola il paradosso della percezione del rischio: "While the impact to the wider populace is smaller because the attackers exploiting CVE-2025-43300 had a narrow, targeted focus, Apple wants the public to pay attention to the threat and take immediate action". La citazione, riportata da The Record, evidenzia una dinamica ricorrente nella cybersecurity contemporanea.

Il punteggio CVSS 10.0 CRITICAL descrive la severità tecnica e la facilità di sfruttamento, non la probabilità di essere colpiti per un utente generico. La natura mirata dell'attacco confermato da Apple — "specific targeted individuals" — suggerisce che gli operatori dietro questa campagna selezionino le vittime con criterio, probabilmente in base a profili di intelligence o attivismo. Questo non riduce l'urgenza del patching per le infrastrutture governative e aziendali, che rappresentano obiettivi di interesse strategico.

La discrepanza tra il rating CISA 8.8/10 e il CISA-ADP 10.0 riflette probabilmente diverse prospettive di valutazione: il primo incorpora elementi di contesto operativo e stima del targeting, il secondo è una misura puramente tecnica della facilità e dell'impatto dello sfruttamento. Entrambi i valori collocano la vulnerabilità nella fascia alta della scala di rischio.

Apple non ha risposto a richieste di chiarimento sull'utilizzo effettivo della vulnerabilità, né ha fornito dettagli sul numero di vittime o sulla geografia degli attacchi. Questa riservatezza è coerente con la gestione di incidenti di elevata sensibilità, dove la divulgazione eccessiva può compromettere indagini in corso o esporre ulteriormente i target già colpiti.

Il contesto normativo: perché BOD 22-01 accelera la risposta

Il Binding Operational Directive 22-01 di CISA impone alle agenzie federali civili del Federal Civilian Executive Branch un processo strutturato di gestione delle vulnerabilità conosciute sfruttate. L'inclusione nel KEV Catalog attiva automaticamente un timer di remediation vincolante: nel caso di CVE-2025-43300, meno di tre settimane dall'aggiunta alla deadline.

Questo meccanismo, introdotto nel novembre 2021, ha trasformato il KEV da semplice repository informativo in strumento di governance operativa. Le agenzie devono documentare lo stato di patching e giustificare eventuali eccezioni, con CISA che monitora la compliance attraverso rilevamenti automatizzati e audit periodici. La scadenza dell'11 settembre 2025 è quindi un vincolo giuridicamente rilevante, non una raccomandazione di best practice.

Per il settore privato, il BOD 22-01 non è direttamente applicabile, ma la presenza di CVE-2025-43300 nel KEV segnala una vulnerabilità con exploit confermato in circolazione attiva. Le imprese che gestiscono dati sensibili o operano in settori regolamentati dovrebbero trattare questa segnalazione con la stessa priorità delle agenzie federali.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti