iOS 18.7.11: Apple corregge anche sugli iPhone vecchi una falla già sfruttata

Lunedì 26 ottobre 2026 Apple ha pubblicato iOS 18.7.11 e iPadOS 18.7.11, aggiornamenti pensati per gli iPhone e gli iPad che non possono installare le versioni più recenti del sistema. Come riportano The Hacker News e MacRumors, portano anche su questi dispositivi la correzione di CVE-2026-86950, una falla di CoreGraphics che Apple ritiene possa essere stata sfruttata in un attacco estremamente sofisticato contro persone specifiche.

Che falla è CVE-2026-86950?

CoreGraphics è il componente che disegna immagini, documenti e grafica sullo schermo. La falla, con gravità 8,8 su 10, è una scrittura di memoria fuori dai limiti: aprendo un file preparato ad arte, chi attacca può far eseguire codice sul dispositivo.

Apple l'aveva già corretta il mese scorso per i dispositivi recenti, con iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. Secondo Apple, lo sfruttamento segnalato riguardava versioni di iOS precedenti alla 27. Ora la stessa correzione arriva anche sui modelli rimasti indietro.

Quali dispositivi devono aggiornare?

MacRumors indica i modelli che non possono passare a iOS 26 e che quindi ricevono la correzione solo con la 18.7.11:

• iPhone XS;
• iPhone XS Max;
• iPhone XR;
• iPad di settima generazione.

L'aggiornamento è disponibile anche per altri iPad che supportano iPadOS 18, elencati da The Hacker News. Oltre alla falla di CoreGraphics, la 18.7.11 ne chiude altre due: una nell'audio che un'app potrebbe usare per leggere informazioni riservate, e una in CoreMedia che potrebbe permettere a un'app malevola di usare la fotocamera senza permesso. Per queste due Apple non segnala attacchi.

Lo stesso giorno sono usciti anche iOS 27.2 e, per chi è ancora su iOS 26, iOS 26.7.2, con correzioni per 134 vulnerabilità, nessuna indicata come sfruttata.

Perché interessa a un'azienda?

Gli attacchi descritti da Apple come "mirati" di solito colpiscono poche persone selezionate. Ma le falle, una volta note, tendono a diffondersi verso attacchi più ampi, e i dispositivi vecchi sono quelli che restano scoperti più a lungo.

Nelle piccole imprese capita spesso che i telefoni aziendali siano proprio questi: l'iPhone passato da un collega, l'iPad usato in negozio come cassa o in reception per far firmare i moduli, il telefono del magazzino. Dispositivi che funzionano benissimo, ma che nessuno aggiorna perché "non danno problemi". Su quei telefoni passano email, WhatsApp con i clienti, app della banca, codici per l'accesso a due fattori.

Cosa fare adesso?

1. Aggiorna subito i dispositivi: Impostazioni > Generali > Aggiornamento software. Apple non indica soluzioni alternative: l'aggiornamento è l'unica difesa.
2. Fai l'elenco dei dispositivi aziendali, con modello e versione del sistema: in pochi minuti scopri quali sono fermi.
3. Attiva gli aggiornamenti automatici dove possibile.
4. Pianifica la sostituzione dei dispositivi che non ricevono più aggiornamenti di sicurezza, soprattutto se servono per l'autenticazione a due fattori o per accedere ai dati dei clienti.
5. Aggiorna anche i Mac, che questo mese hanno ricevuto macOS Tahoe 26.7.2 e Sequoia 15.8.2.

Anche sul fronte Windows ottobre ha portato aggiornamenti importanti: ne parlo nella notizia sul Patch Tuesday di ottobre.

Ne parliamo?

Quando progetto una web app per chi lavora in mobilità, per esempio per gli ordini in negozio o la rilevazione di turni e presenze in cantiere, tengo conto dei dispositivi su cui girerà davvero, anche quelli vecchi. Una web app ha anche un vantaggio pratico: gli aggiornamenti dell'applicazione arrivano dal server, senza dover passare telefono per telefono. Se il parco di telefoni e tablet della tua azienda è cresciuto senza un criterio, una consulenza tecnica aiuta a rimettere ordine. Scrivimi dalla pagina contatti.

Fonti

• Apple Backports Fix for Exploited CoreGraphics Flaw to Older iPhones and iPads (The Hacker News)
• Apple Fixes Possibly Exploited CoreGraphics Flaw on Older iPhones (MacRumors)

Crediti delle immagini

• Copertina: foto di Andrey Matveev su Pexels