Un estraneo poteva entrare in una conversazione di gruppo su iMessage e ricevere i messaggi scambiati dai partecipanti. È una delle vulnerabilità più serie corrette da Apple con gli aggiornamenti distribuiti ieri per iPhone, iPad e Mac, dei quali ora conosciamo i dettagli relativi alla sicurezza.
La falla, identificata come CVE-2026-113961, riguardava un errore nei controlli di autorizzazione di Messaggi. Secondo la documentazione pubblicata da Apple, un aggressore remoto avrebbe potuto inserirsi in una chat di gruppo e riceverne i contenuti, senza essere un partecipante autorizzato alla conversazione.
Un secondo problema, identificato come CVE-2026-113960, consentiva invece a una persona aggiunta a un gruppo di leggere anche i messaggi scambiati prima del suo ingresso. In questo caso, quindi, il rischio riguardava l’accesso alla cronologia delle conversazioni.
Apple ha risolto la prima vulnerabilità rafforzando i controlli di autorizzazione e la seconda eliminando il codice responsabile del problema. Entrambe le falle sono state segnalate da ricercatori anonimi.
Bluetooth e AirPlay, altre falle potenzialmente pericolose
Le vulnerabilità corrette interessano anche le connessioni wireless. Una di queste poteva permettere a un dispositivo Bluetooth malevolo di abbinarsi senza l’intervento dell’utente, aggirando i normali controlli di sicurezza. Un’altra avrebbe consentito a un aggressore nelle vicinanze di provocare un errore nella gestione della memoria di un processo.
Problemi anche per AirPlay: alcune falle permettevano di aggirare i limiti imposti ai tentativi di inserimento dei codici di abbinamento. Queste protezioni servono a impedire che un malintenzionato possa provare ripetutamente combinazioni diverse fino a trovare quella corretta.
Tra le correzioni compare inoltre una vulnerabilità di App Intents che avrebbe potuto consentire a un’applicazione di accedere a dati sensibili dell’utente.
Le falle sono state sfruttate?
Apple non ha segnalato attacchi che abbiano sfruttato queste vulnerabilità. Le possibilità descritte nei bollettini di sicurezza indicano quindi ciò che un aggressore avrebbe potuto fare, non episodi di intercettazione o accesso abusivo effettivamente documentati.
Le correzioni sono comprese in iOS 27.2.1, iPadOS 27.2.1 e macOS 27.2.1, ma le due vulnerabilità di iMessage sono state risolte anche con gli aggiornamenti destinati ai sistemi precedenti, tra cui iOS 26.7.3.
I dettagli tecnici sono disponibili nella documentazione ufficiale di Apple. Con la pubblicazione delle informazioni sulle falle, anche chi volesse tentare di sfruttarle dispone ora di indicazioni sui problemi corretti. Un motivo in più per installare gli aggiornamenti senza rinviare.
