Aggiornamento di emergenza iOS 26.2: due zero‑day in WebKit

Apple ha rilasciato un aggiornamento di sicurezza d’emergenza per iOS 26.2, chiudendo due pericolose vulnerabilità già sfruttate in attacchi mirati nel mondo reale. L’azienda precisa che si è trattato di intrusioni altamente sofisticate, rivolte a un gruppo limitato di utenti e riconducibili a spyware, non a furti di dati o denaro su larga scala.

Entrambe le falle sono state individuate in WebKit—il motore alla base di Safari e, su iPhone e iPad, di ogni browser di terze parti. In pratica, la sola apertura di un sito malevolo poteva bastare per far scattare l’attacco. Tracciate come CVE-2025-43529 e CVE-2025-14174, le vulnerabilità facevano parte della stessa catena d’infezione, secondo Apple.

La prima consentiva l’esecuzione di codice arbitrario sul dispositivo a causa di una gestione impropria della memoria in WebKit. La seconda, identificata in collaborazione con il Threat Analysis Group di Google, riguardava anch’essa il funzionamento del motore del browser. Apple afferma di aver risolto entrambi i problemi irrigidendo la gestione della memoria e aggiungendo controlli supplementari, senza diffondere dettagli che possano offrire agli aggressori una mappa dell’attacco.

Le patch sono arrivate su tutto l’ecosistema Apple: iOS e iPadOS, macOS, watchOS, tvOS, visionOS e Safari. Poiché su iOS tutti i browser devono utilizzare WebKit, l’esposizione riguardava anche Chrome e altre alternative installate su iPhone. Un promemoria non banale per chi pensa che cambiare app di navigazione sia sufficiente a eludere le stesse superfici d’attacco.

Apple invita ancora una volta a installare gli aggiornamenti senza indugio, sottolineando che le campagne zero-day prendono di mira anzitutto i dispositivi con software non aggiornato. L’azienda richiama inoltre la Modalità di isolamento per chi potrebbe essere esposto ad attacchi mirati e consiglia di prestare attenzione a comportamenti anomali—surriscaldamento, batteria che cala all’improvviso o problemi con Safari. Il messaggio, in definitiva, è semplice: aggiornare subito, riducendo al minimo le occasioni per gli aggressori.