CVE-2026-86950: Vulnerabilità Zero-Day di Apple CoreGraphics collegata ad attacchi mirati estremamente sofisticati

Apple ha rilasciato aggiornamenti di sicurezza di emergenza per affrontare una vulnerabilità di CoreGraphics che potrebbe essere stata sfruttata in un attacco altamente mirato contro individui specifici. Tracciato come CVE-2026-86950, il difetto è un problema di scrittura fuori limite che può portare all’esecuzione di codice arbitrario quando un dispositivo Apple vulnerabile elabora un file appositamente creato.

La vulnerabilità è stata segnalata ad Apple dalla Meta Product Security. Apple dichiara di essere a conoscenza di un rapporto che indica che il problema potrebbe essere stato utilizzato in un attacco ‘estremamente sofisticato’ contro obiettivi selezionati che utilizzano versioni di iOS precedenti a iOS 27. L’azienda non ha divulgato chi è stato colpito, come è stato consegnato il contenuto malevolo, se i tentativi di sfruttamento sono riusciti o chi fosse dietro l’attività.

CoreGraphics è un framework grafico fondamentale utilizzato nei sistemi operativi Apple per rendere contenuti bidimensionali, comprese immagini e documenti PDF. Poiché può elaborare file ricevuti tramite browser, client di posta elettronica, applicazioni di messaggistica, visualizzatori di documenti e altro software, una vulnerabilità di corruzione della memoria in questo livello può creare una superficie d’attacco significativa.

Apple ha risolto la vulnerabilità il 28 settembre 2026 tramite iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. Le versioni successive di iOS 27 e macOS Golden Gate 27 sembrano non essere affette.

Contatta Vendite

Analisi di CVE-2026-86950

Il difetto è una scrittura fuori limite nel componente CoreGraphics di Apple. Questa classe di problemi di sicurezza della memoria si verifica quando il software scrive dati oltre il buffer di memoria allocato per un’operazione. Se un attaccante può controllare sufficientemente quella scrittura, la memoria adiacente può essere corrotta e l’esecuzione del programma può eventualmente essere reindirizzata. Apple ha affrontato il problema introducendo miglioramenti nel controllo dei limiti.

I dettagli più importanti per CVE-2026-86950 sono che lo sfruttamento inizia quando il codice CoreGraphics colpito elabora un file appositamente creato. Apple non ha divulgato il tipo di file esatto, la struttura malformata o le caratteristiche del payload necessarie per attivare il bug.

SecurityWeek osserva che CoreGraphics è coinvolto nella grafica 2D e nel rendering dei PDF sulle piattaforme Apple. Questo significa che un file malevolo potrebbe teoricamente raggiungere il parser vulnerabile tramite più canali, inclusi una pagina web, un allegato email o un’applicazione di messaggistica. Le anteprime automatiche potrebbero potenzialmente ridurre o eliminare la necessità di un’interazione esplicita dell’utente in alcuni scenari di attacco. Tuttavia, Apple ha non confermato che l’attacco osservato abbia utilizzato uno di questi meccanismi di consegna, quindi questo rimane una valutazione di possibile esposizione piuttosto che una catena di exploit documentata.

CVE-2026-86950 colpisce rami di sistemi operativi Apple più vecchi supportati coperti dal rilascio di sicurezza del 28 settembre, compreso:

• iOS 26.7.1 e iPadOS 26.7.1 come le versioni corrette
• macOS Tahoe 26.7.1 come la versione corretta di Tahoe
• macOS Sequoia 15.8.1 come la versione corretta di Sequoia

Per iOS e iPadOS, Apple elenca l’aggiornamento di sicurezza per:

• iPhone 11 e successivi
• iPad Pro 12,9 pollici, 3ª generazione e successivi
• iPad Pro 11 pollici, 1ª generazione e successivi
• iPad Air, 3ª generazione e successivi
• iPad, 8ª generazione e successivi
• iPad mini, 5ª generazione e successivi

L’avviso di Apple associa esplicitamente sfruttamenti conosciuti o sospetti a dispositivi che eseguono versioni di iOS prima di iOS 27. SecurityWeek nota che mentre sia iOS sia macOS contengono il componente vulnerabile, la terminologia pubblica di Apple indica che gli attacchi mirati osservati hanno coinvolto iOS anziché macOS.

L’impatto pratico potrebbe essere potenzialmente grave. L’esecuzione di codice arbitrario riuscita potrebbe consentire l’esecuzione di istruzioni controllate dall’attaccante all’interno del processo che gestisce il file malevolo. I privilegi e le capacità successive dipenderebbero dal processo sfruttato e se l’attaccante possiede anche ulteriori vulnerabilità capaci di sfuggire alle restrizioni a livello di applicazione o di ottenere privilegi superiori.

Questa distinzione è importante. Apple non ha affermato che CVE-2026-86950 da solo dia agli attaccanti il controllo totale di un iPhone, iPad o Mac. In attacchi mobili sofisticati, le vulnerabilità di corruzione della memoria sono spesso combinate con bug aggiuntivi per bypassare le sandbox, elevare i privilegi o stabilire la persistenza. Nessuna catena di exploit del genere è stata documentata pubblicamente per questa campagna.

Meta Product Security ha segnalato la vulnerabilità ad Apple, ma né Apple né Meta hanno rilasciato ricerche tecniche che descrivano la scoperta originale, il campione malevolo o l’infrastruttura dell’attacco. SecurityWeek nota anche che il coinvolgimento di Meta solleva domande su se la vulnerabilità possa essere stata riscontrata attraverso un’applicazione di proprietà di Meta come WhatsApp, ma attualmente non ci sono prove che stabiliscano tale connessione.

Questa possibilità non dovrebbe essere confusa con i fatti confermati. Nel 2025, WhatsApp ha divulgato un attacco mirato separato che concatenava una vulnerabilità di WhatsApp con uno zero-day Apple ImageIO. SecurityWeek cita l’incidente precedente solo come contesto; non stabilisce che CVE-2026-86950 sia stato consegnato tramite WhatsApp.

Apple ha divulgato pubblicamente CVE-2026-86950 il 28 settembre 2026, contemporaneamente agli aggiornamenti di sicurezza. La data esatta di scoperta privata e la data in cui lo sfruttamento potrebbe essere avvenuto per la prima volta non sono state divulgate.

Non è stato divulgato nella consulenza di Apple o nei due rapporti richiesti un affidabile PoC pubblico per CVE-2026-86950. Apple ha anche trattenuto i dettagli del file malformato necessari per riprodurre la vulnerabilità, il che riduce le immediate informazioni tecniche disponibili ai possibili attaccanti opportunisti mentre i dispositivi patchati vengono aggiornati.

Non esistono nemmeno IOC specifici alla campagna pubblica per CVE-2026-86950 come domini malevoli, indirizzi IP, hash di file, nomi di allegati o firme di payload di exploit nel bollettino di Apple o nei due rapporti. Questo limita notevolmente la caccia alle minacce basata sugli indicatori.

A partire dal rapporto di SecurityWeek del 29 settembre, CISA non aveva ancora aggiunto la vulnerabilità al suo catalogo delle Vulnerabilità Conosciute Sfruttate. La terminologia di Apple è cauta, affermando che l’azienda è a conoscenza di un rapporto che sfruttamento may potrebbe essere avvenuto.

Tuttavia, le organizzazioni dovrebbero trattare l’aggiornamento come una priorità alta. Apple raramente usa una terminologia descrivente un ‘attacco estremamente sofisticato contro individui specificamente mirati’ per divulgazioni di vulnerabilità ordinarie, e il componente CoreGraphics interessato si trova in un percorso di elaborazione di file che può essere raggiunto tramite numerose applicazioni.

Mitigazione di CVE-2026-86950

La principale soluzione è installare immediatamente gli aggiornamenti di sicurezza del 28 settembre di Apple.

Gli utenti colpiti dovrebbero aggiornare a:

• iOS 26.7.1
• iPadOS 26.7.1
• macOS Tahoe 26.7.1
• macOS Sequoia 15.8.1

Apple conferma che il difetto è risolto in queste versioni attraverso un miglioramento nel controllo dei limiti.

Gli utenti possono controllare la disponibilità di aggiornamenti su iPhone e iPad attraverso:

Impostazioni → Generali → Aggiornamento Software

Su macOS:

Impostazioni di Sistema → Generali → Aggiornamento Software

Le organizzazioni che gestiscono flotte di Apple tramite MDM dovrebbero verificare centralmente la build del sistema operativo installata anziché affidarsi agli utenti per avviare manualmente gli aggiornamenti.

Gli utenti a rischio elevato meritano una particolare attenzione. Poiché Apple associa il problema a un attacco mirato sofisticato contro individui specifici, le organizzazioni che supportano dirigenti, funzionari di governo, giornalisti, diplomatici, ricercatori, personale di difesa, figure politiche o altri utenti a rischio elevato dovrebbero dare priorità alla distribuzione.

La rilevazione di CVE-2026-86950 è difficile perché Apple non ha pubblicato telemetria specifica di exploit o infrastruttura degli attaccanti. Il primo passo difensivo dovrebbe quindi essere l’identificazione dei dispositivi che rimangono su versioni di sistema operativo vulnerabili pre-patch.

Per rilevare lo sfruttamento di CVE-2026-86950 o attività sospette successive, i difensori dovrebbero correlare la telemetria disponibile di endpoint, MDM, rete, identità e applicazioni per comportamenti come:

• Dispositivi che rimangono al di sotto delle versioni OS patchate
• Crash inaspettati associati a processi di grafica, documenti o messaggistica
• File sospetti che arrivano poco prima di fallimenti di processi inspiegabili
• Comportamenti applicativi inusuali dopo l’elaborazione di immagini o PDF
• Processi figli inaspettati o avvii di applicazioni su macOS
• Comunicazioni di rete in uscita inspiegabili in seguito alla ricezione di un file sospetto
• Nuovi meccanismi di persistenza o profili di configurazione
• Attività di credenziali o sessioni inusuali associate all’utente colpito
• Accesso inatteso agli Account Apple da sistemi o località sconosciute
• Avvisi di sicurezza che si verificano immediatamente dopo l’elaborazione di documenti, messaggi o contenuti web

Questi sono indizi forensi generali piuttosto che firme specifiche alla vulnerabilità. Un crash del processo da solo non dimostra sfruttamento, e Apple non ha fornito dettagli tecnici sufficienti per definire un modello di rilevazione unico.

Le organizzazioni dovrebbero anche preservare messaggi potenzialmente rilevanti, allegati, cronologia di navigazione, log unificati, registri MDM, telemetria DNS, dati proxy, log di identità e registri di rete per utenti ad alto rischio dove si sospetta un compromesso.

Poiché le piattaforme mobili espongono sostanzialmente meno telemetria a basso livello rispetto agli endpoint desktop convenzionali, la mancanza di artefatti osservabili non stabilisce che lo sfruttamento non sia avvenuto.

Per gli utenti che affrontano un rischio elevato di spyware, la modalità Lockdown di Apple può anche fornire un ulteriore rinforzo contro attacchi mirati altamente sofisticati riducendo alcune funzionalità di elaborazione di applicazioni e contenuti. Non sostituisce l’installazione dell’aggiornamento di sicurezza.

I rispondenti agli incidenti che indagano su un dispositivo potenzialmente compromesso dovrebbero evitare di presumere che aggiornare il sistema operativo rimuova qualsiasi accesso stabilito in precedenza dall’attaccante. Se lo sfruttamento fa parte di una catena più ampia, potrebbero persistere artefatti aggiuntivi o credenziali rubate oltre il percorso del codice CoreGraphics vulnerabile.

Per i sospetti di compromissione ad alto rischio, le organizzazioni dovrebbero considerare:

• Preservare le prove forensi prima del reset o della sostituzione
• Rivedere le sessioni dell’Account Apple e i dispositivi attendibili
• Revocare le sessioni sospette
• Rivedere l’attività del provider di identità aziendale
• Ispezionare l’attività email o di messaggistica correlata
• Valutare altri dispositivi appartenenti allo stesso utente mirato

Il rapido dispiegamento delle patch rimane la misura difensiva più importante perché Apple non ha rilasciato alcun workaround di configurazione per il difetto di sicurezza della memoria di base.