Il 12 dicembre 2025, Apple ha rilasciato una serie di aggiornamenti di sicurezza cruciali per i suoi vari sistemi operativi, con l’obiettivo di correggere due difetti critici nel motore di navigazione WebKit. Le vulnerabilità Essas, catalogate come CVE-2025-43529 e CVE-2025-14174, presentavano il rischio di esecuzione di codice arbitrario o danneggiamento della memoria e potevano essere attivate semplicemente durante l’elaborazione di contenuti Web dannosi. La rapidità di risposta dell’azienda dimostra la serietà con cui tratta le minacce che potrebbero compromettere l’integrità dei dati e la privacy dei suoi utenti, soprattutto in uno scenario di sicurezza informatica sempre più complesso e sfidante per il settore tecnologico.
L’azienda ha confermato che entrambe le falle sono già state sfruttate in attacchi altamente mirati. Gli attacchi Esses hanno preso di mira individui specifici, utilizzando versioni precedenti di iOS per compromettere la sicurezza del dispositivo. La vulnerabilità CVE-2025-14174, in particolare, ha colpito anche il browser Chrome di Google, che ha ricevuto una correzione separata il 10 dicembre 2025, evidenziando la collaborazione tra i giganti della tecnologia nella mitigazione dei rischi.
Gli aggiornamenti coprono un’ampia gamma di piattaforme, tra cui iOS, iPadOS, macOS, tvOS, watchOS, visionOS e Safari. Para garantire la protezione delle proprie apparecchiature, gli utenti devono installare le ultime versioni del software il più rapidamente possibile, al fine di mitigare i rischi di sfruttamento e mantenere l’integrità dei propri sistemi contro le minacce digitali.
Natura delle falle di sicurezza in WebKit
CVE-2025-43529 è stato identificato come un problema use-after-free all’interno di WebKit, un componente fondamentale per il rendering delle pagine web. La falla Essa ha consentito agli aggressori di inserire ed eseguire codice dannoso su dispositivi compromessi, semplicemente facendo accedere alle vittime pagine Web preparate con contenuti sfruttabili.
I ricercatori di Google Threat Analysis Group (TAG) erano responsabili di identificare e segnalare il problema a Apple, evidenziando l’importanza della sorveglianza continua e della collaborazione tra le società di sicurezza. Lo sfruttamento di questa vulnerabilità era particolarmente insidioso perché richiedeva una sola azione passiva da parte della vittima: navigare in un sito Web compromesso, senza la necessità di download o installazioni aggiuntivi.
Il secondo difetto, CVE-2025-14174, comportava un grave danneggiamento della memoria durante l’elaborazione dei contenuti web, con un punteggio CVSS di 8,8. La classificazione Esta indica una gravità elevata e un potenziale significativo di causare danni ai sistemi interessati.
Entrambe le vulnerabilità hanno un impatto diretto su WebKit, che è il motore di rendering obbligatorio per tutti i browser su iOS e iPadOS. La dipendenza Essa significa che qualsiasi difetto in WebKit potrebbe compromettere la sicurezza di tutte le applicazioni di navigazione su questi sistemi.
Impatto e coordinamento con Google
La natura di questi difetti, che consentono l’esecuzione di codice remoto senza ulteriore interazione da parte dell’utente, è particolarmente preoccupante. Elas apre le porte all’installazione di software spia e altri strumenti di sorveglianza sui dispositivi presi di mira.
Sebbene gli exploit siano stati limitati a campagne mirate piuttosto che ad attacchi di massa, il rischio per gli individui presi di mira è sostanziale. Il coordinamento tra Apple e Google nella correzione di CVE-2025-14174, che ha interessato anche la libreria ANGLE in Chrome, dimostra un approccio unificato per affrontare le minacce che trascendono un singolo ecosistema software.
Dispositivi e sistemi che hanno ricevuto aggiornamenti
Le correzioni sono state distribuite in versioni specifiche della piattaforma, garantendo la protezione dell’ampia gamma di dispositivi di Apple. Para utenti di iPhone e iPad, gli aggiornamenti sono arrivati tramite iOS 26.2 e iPadOS 26.2, mentre i modelli precedenti erano coperti da iOS 18.7.3 e iPadOS 18.7.3, garantendo compatibilità e sicurezza per una flotta di apparecchiature più ampia.
Questi aggiornamenti riguardano gli iPhone dal modello XS in poi, diverse generazioni recenti di iPad e tutti i modelli iPad mini compatibili, garantendo che un’ampia base di utenti riceva le protezioni necessarie. In ambiente macOS, l’aggiornamento è stato implementato in macOS Tahoe 26.2, applicandosi a tutti gli Macs che eseguono questa versione del sistema operativo, rafforzando la sicurezza su desktop e notebook.
– tvOS 26.2: Disponível per Apple TV HD e tutti i modelli 4K.
– watchOS 26.2: Abrangendo Apple Watch Series 6 e modelli successivi.
– visionOS 26.2: Para tutti i modelli di Apple Vision Pro.
– Safari 26.2: Anche Macs con macOS Sonoma o Sequoia ha ricevuto il browser aggiornato.
[[_0]
Gli utenti possono ricevere gli aggiornamenti automaticamente oppure scegliere di installarli manualmente accedendo alle impostazioni software dei rispettivi dispositivi, un processo semplice e immediato che garantisce protezione in pochi minuti.
Storia delle vulnerabilità zero-day nel 2025
Con queste ultime correzioni, Apple ha già risolto nove vulnerabilità zero-day sfruttate attivamente nel corso del 2025, un numero che evidenzia la persistenza e la sofisticatezza degli aggressori. All’inizio dell’anno, l’azienda aveva già rilasciato patch per difetti critici come CVE-2025-24085, CVE-2025-24200 e CVE-2025-24201, dimostrando uno sforzo continuo per mantenere sicuri i propri sistemi.
Altre vulnerabilità identificate e risolte includevano CVE-2025-31200, CVE-2025-31201, CVE-2025-43200 e CVE-2025-43300. Muitas di questi difetti riguardavano componenti essenziali del sistema, come Kernel e ImageIO, che vengono spesso presi di mira a causa del loro accesso privilegiato alle risorse del dispositivo.
La frequenza con cui le vulnerabilità zero-day vengono scoperte e sfruttate riflette il crescente interesse dei gruppi di aggressori avanzati negli ecosistemi Apple, guidato dalla popolarità e dal valore dei dati archiviati su questi dispositivi. La collaborazione con entità come Google TAG è stata fondamentale per il rilevamento rapido e l’efficace mitigazione di queste minacce, consentendo alle aziende di agire in modo proattivo.
Questi incidenti servono a ricordare costantemente l’importanza fondamentale di mantenere aggiornati i sistemi operativi e le applicazioni. L’installazione regolare di patch di sicurezza su dispositivi mobili e desktop è la principale linea di difesa contro gli attacchi che cercano di sfruttare i difetti appena scoperti prima che le soluzioni siano ampiamente disponibili.
Il ruolo essenziale di WebKit nell’ecosistema Apple
WebKit, un motore di rendering open source, è il cuore del browser Safari e, per estensione, di tutti i browser che funzionano su iOS e iPadOS. Devido A causa delle rigide restrizioni di sicurezza imposte da Apple, tutti i browser di terze parti, inclusi Chrome, Edge e Firefox, sono tenuti a utilizzare WebKit su dispositivi iOS e iPadOS.
Questa dipendenza centralizzata rende qualsiasi vulnerabilità in WebKit particolarmente critica per la vasta base di utenti di Apple. Una falla di questo motore può essere sfruttata tramite qualsiasi browser alternativo senza la necessità di installare ulteriori applicazioni dannose, rendendo il vettore di attacco molto ampio e facilmente accessibile per i criminali informatici.
La libreria ANGLE, coinvolta in CVE-2025-14174, è responsabile della gestione della grafica WebGL, una tecnologia che consente il rendering della grafica 3D basato su browser. Problemas in questo livello può avere un impatto diffuso, influenzando il rendering dei contenuti visivi su più piattaforme e compromettendo l’esperienza dell’utente.
Fortunatamente, i miglioramenti implementati nella gestione della memoria e nella convalida dei dati all’interno di WebKit sono progettati specificamente per risolvere i crash segnalati. Le ottimizzazioni Essas mirano a rafforzare la resilienza del motore contro futuri tentativi di sfruttamento, garantendo una navigazione più sicura per tutti.
Ulteriori misure protettive e altri correttivi
I recenti aggiornamenti di Apple non si sono limitati solo ai difetti di WebKit, ma hanno incluso anche patch per oltre 20 vulnerabilità aggiuntive in vari componenti del sistema. Problemas in Kernel, come gli overflow di numeri interi, potrebbe, ad esempio, consentire l’escalation dei privilegi, dando a un utente malintenzionato il pieno controllo sul dispositivo.
Anche i difetti in framework importanti come FaceTime, Messages e App Store hanno ricevuto le necessarie correzioni. Algumas di queste vulnerabilità riguardavano l’accesso improprio a dati sensibili dell’utente, come informazioni di contatto o cronologia delle comunicazioni, che potrebbero portare a gravi violazioni della privacy.
– CVE-2025-46285: un overflow in Kernel con la possibilità di garantire l’accesso root.
– Problemas su Screen Time che ha esposto la cronologia di navigazione degli utenti.
– Correções nei moduli di rete come curl, rafforzando la sicurezza delle comunicazioni.
Questi miglioramenti completi rafforzano la sicurezza complessiva dei sistemi operativi di Apple, mitigando una serie di minacce che potrebbero essere sfruttate in attacchi futuri.
Raccomandazioni fondamentali per la sicurezza degli utenti
Gli esperti di sicurezza informatica consigliano l’installazione immediata degli aggiornamenti disponibili per tutti i dispositivi Apple. Su iPhone o iPad, il processo è semplice: vai su Ajustes > Geral > Atualização da Software per verificare e applicare le nuove versioni.
Per Macs, gli utenti devono accedere a Preferências da Sistema o al menu da Configurações per verificare la presenza di aggiornamenti in sospeso e assicurarsi che il sistema sia protetto. È importante notare che anche i dispositivi più vecchi ricevono versioni di supporto esteso, come iOS 18.7.3, per garantire che la sicurezza non venga trascurata sulle apparecchiature più datate.
Il mantenimento di backup regolari di tutti i dati integra le misure di protezione, offrendo un ulteriore livello di sicurezza in caso di incidenti. Além Inoltre, evitare di cliccare su link sospetti o di aprire allegati email sconosciuti continua ad essere una pratica fondamentale per ridurre i rischi di sfruttamento via web. L’azienda statunitense Agência di Cibersegurança (CISA) ha aggiunto uno dei difetti corretti al suo catalogo di vulnerabilità sfruttate note, sottolineando l’urgenza degli aggiornamenti.
Evoluzione delle minacce ai dispositivi Apple
Lo sfruttamento delle falle di WebKit continua ad essere una tattica comune negli attacchi mirati, soprattutto quelli effettuati da gruppi con capacità avanzate e obiettivi specifici. Negli anni precedenti, vulnerabilità simili venivano sfruttate per facilitare l’installazione di strumenti di sorveglianza e spyware su dispositivi di alto profilo.
La capacità di Apple di rispondere rapidamente a queste minacce è fondamentale per limitare l’impatto delle campagne di sfruttamento. L’attenzione rivolta agli attacchi sofisticati suggerisce che gli obiettivi sono spesso individui di alto profilo come giornalisti, attivisti per i diritti umani o personaggi politici, rendendo la protezione ancora più vitale.
Il monitoraggio continuo, sia da parte dei team di sicurezza interni di Apple che dei ricercatori esterni, è un fattore determinante per il rilevamento efficiente e la rapida mitigazione di queste vulnerabilità. La costante vigilanza di Essa consente all’azienda di stare al passo con le tattiche di attacco e di proteggere i propri utenti in modo efficace.
