Il carattere dentro il PDF era l'attacco, e ora il codice è alla portata di tutti
Un PDF può prendere il controllo di un iPhone. Non un PDF con dentro un link sospetto, né uno che vi chiede di installare qualcosa: basta il file stesso, aperto, se un carattere tipografico incorporato è stato costruito nel modo sbagliato.
Si tratta di CVE-2026-86950, una scrittura fuori dai limiti in CoreGraphics, la parte del software Apple che disegna le cose sullo schermo. Apple l'ha corretta il 28 settembre in iOS e iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1, accreditando il team di sicurezza prodotto di Meta per la scoperta. Le parole di Apple erano prudenti: la falla potrebbe essere stata sfruttata in un attacco estremamente sofisticato contro individui specificamente presi di mira su iOS precedente alla versione 27. È il linguaggio che Apple riserva allo spyware. La CISA l'ha aggiunta a fine settembre al suo elenco delle vulnerabilità sfruttate attivamente e ha dato alle agenzie federali statunitensi tempo fino al 2 ottobre per correggerla.
Quello che è cambiato il 30 settembre è che è diventato pubblico un codice dimostrativo. Fa andare in crash iPhone e Mac non aggiornati con un glifo malformato, cioè la metà rumorosa e innocua dello stesso bug. I ricercatori hanno anche notato nuovo codice di analisi dei caratteri nelle versioni 26.37.73 e 26.38.74 di WhatsApp e si sono chiesti ad alta voce se la messaggistica fosse la via di consegna, salvo poi ritirare l'ipotesi come speculazione. Nessun attacco oltre al crash è stato dimostrato.
Se avete un iPhone, un iPad o un Mac, aprite Impostazioni e lasciate installare l'aggiornamento oggi, non nel fine settimana. Lo spyware mirato non è un vostro problema, ma il codice di crash pubblicato tende a trasformarsi in qualcosa di peggio appena abbastanza gente ci mette le mani. Sul PC Windows della stessa casa il compito equivalente è tenere aggiornati il lettore PDF e il browser, e Tendvane può portare entrambi all'ultima versione tramite winget in un solo passaggio.