Un aggiornamento di iOS non corregge sempre una sola vulnerabilità isolata. Pubblicati il 9 novembre 2026, iOS 27.2.1 e iPadOS 27.2.1 correggono, tra le altre cose, due problemi che riguardano le conversazioni di gruppo su iMessage. Apple descrive anche vulnerabilità legate ad AirPlay, Bluetooth e alla libreria di compressione Brotli. La portata delle correzioni dipende tuttavia dalle versioni interessate: le note dettagliate qui si applicano ai dispositivi elencati da Apple per questi aggiornamenti.
Due vulnerabilità con conseguenze diverse in iMessage
La prima vulnerabilità, CVE-2026-113961, potrebbe consentire a un aggressore remoto di unirsi a una conversazione di gruppo su iMessage e riceverne i messaggi. Apple attribuisce il problema a una convalida insufficiente delle autorizzazioni e afferma di averlo corretto rafforzando tale convalida.
La seconda, CVE-2026-113960, riguarda una persona aggiunta a un gruppo: potrebbe accedere ai messaggi inviati prima del suo ingresso. Apple afferma di aver rimosso il codice vulnerabile. Si tratta quindi di due scenari distinti: uno riguarda l’accesso a una conversazione, l’altro la visibilità della sua cronologia.
Queste descrizioni illustrano un possibile impatto, non dimostrano che le vulnerabilità siano state sfruttate contro qualcuno. Apple precisa che non divulga né conferma i problemi di sicurezza prima che siano state svolte indagini e siano disponibili delle correzioni. Le sue note non segnalano lo sfruttamento di queste due vulnerabilità di iMessage.
I dispositivi interessati da iOS 27.2.1
Apple indica che le correzioni pubblicate con iOS 27.2.1 e iPadOS 27.2.1 sono disponibili per iPhone 11 e modelli successivi, nonché per diverse generazioni di iPad: iPad Pro da 12,9 pollici dalla quarta generazione in poi, iPad Pro da 11 pollici dalla seconda generazione in poi, iPad Air dalla quarta generazione in poi, iPad dalla nona generazione in poi e iPad mini dalla sesta generazione in poi.
Questo elenco è importante per interpretare l’annuncio. Le note di un aggiornamento, da sole, non consentono di concludere che ogni dispositivo Apple meno recente benefici delle stesse correzioni. Apple pubblica documenti distinti per le sue versioni software: occorre quindi verificare quello corrispondente al sistema installato sul proprio dispositivo, anziché generalizzare all’intera gamma.
Brotli e Bluetooth: entrano in gioco altri meccanismi
La correzione per iOS e iPadOS riguarda anche CVE-2026-111497 in Brotli, una libreria di compressione. Apple indica che un contenuto dannoso appositamente predisposto potrebbe causare un danneggiamento della memoria a causa di una scrittura oltre i limiti previsti. In parole semplici, il software rischia di scrivere dati in un’area di memoria che non gli è destinata. La nota conferma la correzione di questa vulnerabilità, ma non la associa a un attacco tramite iMessage.
Diverse altre vulnerabilità descritte da Apple riguardano le comunicazioni wireless o l’associazione dei dispositivi. In determinate condizioni, un dispositivo Bluetooth malevolo potrebbe avviare un’associazione senza interazione da parte dell’utente. Altre vulnerabilità potrebbero aggirare il limite al numero di tentativi di inserimento di un codice di associazione, dalla portata del Bluetooth o dalla stessa rete. Un’altra ancora potrebbe consentire a un aggressore entro la portata del Bluetooth di danneggiare la memoria di un processo.
Le note indicano i possibili impatti e gli elementi corretti, ma non specificano cosa potrebbe fare in seguito un dispositivo associato. Sarebbe quindi fuorviante trasformare la menzione di un’associazione non autorizzata nell’affermazione che tutti i dati del dispositivo diventano accessibili.
Cosa cambia concretamente con l’aggiornamento
Per chi utilizza un iPhone o un iPad incluso nell’elenco di Apple, il vantaggio è la correzione di diverse vulnerabilità che potrebbero interessare attività di uso quotidiano: scambiare messaggi in un gruppo o associare un dispositivo. Le stesse note comprendono anche problemi che riguardano App Intents, per cui un’app potrebbe accedere a dati sensibili, e AirPlay, in particolare i tentativi di inserimento del codice di associazione.
La cosa giusta da fare è individuare la versione installata e verificare nelle impostazioni del dispositivo se è disponibile il relativo aggiornamento. Se il dispositivo non compare nell’elenco associato a iOS 27.2.1 o iPadOS 27.2.1, questo non basta a determinare il suo livello di protezione: occorre consultare le note Apple relative alla versione software installata. Una correzione di sicurezza è una misura utile, ma non sostituisce le altre precauzioni, come evitare di accettare un’associazione imprevista.
Riferimenti
- Contenuti di sicurezza di iOS 27.2.1 e iPadOS 27.2.1, Apple
- Panoramica delle correzioni Apple, Clubic
Uso di un iPhone. Foto a scopo illustrativo.
Crediti: Jeremy Levin — Wikimedia Commons — CC0 1.0.
