L'iPhone XR ha appena ricevuto una correzione che Apple aveva pubblicato un mese fa

CVE-2026-86950 era stata corretta sugli iPhone recenti a fine settembre, in iOS 26.7.1. La formulazione di Apple non è cambiata da allora: l'azienda "è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro specifiche persone prese di mira, su versioni di iOS precedenti a iOS 27". La CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate note il 29 settembre. Il 26 ottobre la correzione ha finalmente raggiunto i telefoni a cui Apple non dà più nuove versioni di iOS.

Si tratta di iOS 18.7.11 e iPadOS 18.7.11, per iPhone XS, XS Max e XR, l'iPad di settima generazione e diversi iPad più vecchi. Il difetto è una scrittura fuori dai limiti in CoreGraphics, la parte del sistema che disegna a schermo, segnalata da Meta Product Security, e basta aprire un file preparato per eseguire codice. "Attacco estremamente sofisticato contro specifiche persone prese di mira" è la formula consueta di Apple per indicare spyware commerciale, quindi il rischio reale per chiunque legga queste righe non è mai stato alto.

Le altre due correzioni di quell'aggiornamento sono più vicine alla vita di tutti i giorni. Una riguarda CoreMedia, dove "un'app malevola potrebbe accedere alla fotocamera senza il permesso dell'utente", l'altra il componente Audio. Di nessuna delle due si sa che sia stata usata contro qualcuno. Entrambe sono il tipo di cosa che un anno dopo ricompare in un kit di malware di massa.

Lo stesso giorno sono arrivati iOS e iPadOS 27.2 con 163 correzioni e macOS Golden Gate 27.2 con 263, in totale 286 bug distinti secondo il conteggio di SecurityWeek. L'abitudine da prendere è controllare il vecchio dispositivo nel cassetto, quello tenuto per la musica o passato a un figlio, perché nessuno vi ricorda nulla di un telefono che aprite di rado. Su un PC Windows lo stesso scarto sta nei programmi installati invece che nel sistema, ed è proprio ciò di cui si occupa l'aggiornamento app di Tendvane basato su winget: elenca cosa è rimasto indietro e lo porta avanti in un colpo solo.