Ancora su iOS 16? Gli hacker usano una vulnerabilità Safari del 2024 su vecchi iPhone

Il 4 novembre 2026 la Cybersecurity and Infrastructure Security Agency statunitense ha aggiunto CVE-2024-27834, una vulnerabilità di Apple WebKit, al suo Known Exploited Vulnerabilities catalog. Le agenzie federali statunitensi hanno tempo fino al 18 novembre 2026 per applicare la patch. CISA indica come prodotto interessato Apple «Multiple Products».

Il bug è del 2024. Apple l'ha corretto il 13 maggio 2024 in iOS 17.5 e Safari 17.5, e in iOS 16.7.8 per i modelli più datati iPhone 8, iPhone 8 Plus e iPhone X. Torna d'attualità perché gli attaccanti lo usano ancora contro telefoni che non hanno mai installato quell'aggiornamento. La correzione esiste da oltre due anni. I telefoni colpiti sono quelli che hanno smesso di aggiornarsi prima di maggio 2024.

Riepilogo rapido prima dei dettagli:

• Se il tuo iPhone 8, 8 Plus o X esegue iOS 16.7.8 o una versione successiva, questa specifica catena di attacco non funziona su di esso.
• Se si è fermato a iOS 16.7.7 o a una versione precedente, sei esposto e dovresti aggiornare oggi stesso.
• Se usi una versione datata di Chrome su Android, un attacco simile riguarda anche te. Chrome 146 o successivo lo corregge.

Cosa ha aggiunto il CISA il 4 novembre, e perché un bug del 2024 è tornato?

La vulnerabilità si trova in WebKit, il motore browser alla base di Safari e della maggior parte dei browser per iPhone. Permette a un attaccante che ha già accesso in lettura e scrittura alla memoria di aggirare il Pointer Authentication, una difesa degli iPhone. Apple attribuisce la scoperta a Manfred Paul, in collaborazione con la Zero Day Initiative di Trend Micro. Le note originali di Apple sulle correzioni sono disponibili per iOS 17.5 e per iOS 16.7.8.

La campagna alla base dell'inserimento nel catalogo del CISA è stata documentata da Sekoia, una società di sicurezza francese, in un rapporto pubblicato lo stesso giorno. Nei prossimi paragrafi descriviamo cosa ha fatto.

Quali telefoni sono a rischio?

Le catene di attacco documentate da Sekoia si dividono per dispositivo e versione software. La catena per iPhone costruita attorno a CVE-2024-27834 funziona solo su telefoni fermi a iOS 16.7.7 o precedenti, perché Apple ha corretto quella vulnerabilità in iOS 16.7.8 già a maggio 2024. Una seconda catena per iPhone prende di mira iOS 18.5, e una terza prende di mira Chrome su Android, in particolare le versioni dalla 139 alla 145.

Una precisazione riguarda iPhone 8, 8 Plus e X. Questi telefoni ricevono correzioni occasionali su iOS 16, non tutte. Un telefono con iOS 16.7.16 completamente aggiornato rende inefficace la catena A, ma può ancora presentare altre vulnerabilità WebKit corrette nelle versioni più recenti di iOS. Questo limita l'uso che si può fare di questi telefoni, e ne parliamo più avanti.

Come una semplice visita a un sito è diventata un attacco?

Il metodo si chiama watering hole. Invece di inviare alle vittime un link o un messaggio, gli attaccanti inseriscono codice nei siti che quelle vittime è probabile visitino. Navighi su un sito di cui ti fidi, e il sito ti serve l'exploit.

Sekoia ha documentato quali siti erano coinvolti in questa campagna. Non erano siti di notizie. La lista comprendeva pagine legittime compromesse: un'azienda ucraina di produzione di gas, un'associazione di categoria dell'industria chimica statunitense, un partito politico ceco e un sito bulgaro legato alla sfera militare. C'erano anche due domini lookalike, uno che imitava il sito dell'anniversario statunitense America250 e uno che imitava un hotel di lusso di Londra. Uno script di web analytics ucraino compromesso, Plerdy, era presente su migliaia di siti per lo più ucraini dal 27 agosto al 3 settembre 2026. I paesi interessati erano Stati Uniti, Ucraina, Repubblica Ceca e Bulgaria, più il Regno Unito tramite il lookalike dell'hotel.

Due dettagli contano di più per chi legge da un telefono:

• Non serviva alcun tocco. Secondo Sekoia gli exploit venivano serviti senza interazione dell'utente. Bastava caricare la pagina.
• Niente restava sul telefono dopo un riavvio. Non c'era persistenza.

Sekoia collega la campagna con confidenza da moderata ad alta ad APT29, un gruppo che l'azienda nota essere ampiamente associato al servizio di intelligence estero russo. A parte l'attribuzione, la lezione pratica è la stessa del nostro pezzo del 2018 su Safari e WebKit: un browser aggiornato fa la differenza tra una pagina ostile e una innocua. La conclusione stessa di Sekoia è che un utente con un sistema operativo aggiornato è al sicuro da questi attacchi, dato che ogni vulnerabilità era stata corretta dal produttore prima che la campagna iniziasse.

Un iPhone 8 o iPhone X è al sicuro una volta aggiornato?

In gran parte sì. La catena A richiede due vulnerabilità che lavorano insieme. Una di esse, CVE-2024-27834, è stata corretta in iOS 16.7.8 il 13 maggio 2024, secondo le note di Apple. Quindi un telefono con iOS 16.7.8 o versione successiva, incluso l'attuale iOS 16.7.16, interrompe quella catena. L'attacco non funziona su di esso.

Il limite è l'altra vulnerabilità della catena, CVE-2025-43529. Le note di Apple indicano una correzione in iOS 18 e iOS 26, ma nessuna per iOS 16. Un iPhone 8 o X completamente aggiornato blocca quindi questa campagna, ma può comunque presentare altri bug di WebKit che gli iPhone più recenti non hanno più. iOS 16 riceve correzioni occasionali, non tutte, e il divario con l'iOS attuale cresce nel tempo.

In pratica significa questo:

• Un telefono con iOS 16.7.7 o precedente è esposto alla catena A. Aggiornare oggi a iOS 16.7.16, da Impostazioni, poi Generali, poi Aggiornamento software.
• Un telefono con iOS 16.7.16 è al sicuro da questa campagna ma non va considerato completamente corretto. Tenerlo per chiamate, messaggi e navigazione, e spostare gli account bancari e di lavoro su un telefono più recente.
• Un telefono che non riceve più alcun aggiornamento va ritirato. Accumulerà vulnerabilità del browser senza correzione.

L'attuale versione di iOS 16, la 16.7.16, è arrivata l'11 maggio 2026, secondo le note di rilascio di Apple.

E i telefoni Android e Chrome?

La terza catena prende di mira Android, non iOS. Combina CVE-2026-3910, un difetto di Chrome, con CVE-2025-27038, un difetto in un driver grafico Qualcomm. Secondo Sekoia, raccoglie i cookie di Chrome, le credenziali salvate, la cronologia di navigazione e le impostazioni Wi-Fi.

Il difetto di Chrome è stato corretto il 12 marzo 2026 in Chrome 146 su desktop e su Android. Google disse all'epoca che un exploit esisteva in circolazione. Vale quindi la stessa regola anche qui: i telefoni colpiti sono quelli con Chrome dalla versione 139 alla 145, versioni che avevano smesso di ricevere aggiornamenti prima di marzo 2026.

Su Android contano due aggiornamenti distinti, e non arrivano insieme:

• Il browser: aprite il Play Store, cercate Chrome e toccate Aggiorna. Puoi verificare la versione installata nelle Impostazioni di Chrome, poi in Informazioni su Chrome. Vi serve la 146 o successiva.
• Il sistema operativo: il difetto del driver Qualcomm si corregge tramite gli aggiornamenti di sistema di Android, in Impostazioni, poi Sistema o Aggiornamento software. Un Chrome aggiornato su un sistema Android non corretto conserva comunque la seconda metà della catena.

Se la correzione del driver arriva su un dato telefono dipende dal produttore che invia gli aggiornamenti di sistema. Un telefono che non ne riceve nessuno andrebbe ritirato, come un vecchio iPhone. Il rischio si concentra sui telefoni i cui proprietari non installano mai gli aggiornamenti che ricevono, ed è esattamente lo schema delle tre catene di questa campagna. Se il tuo Chrome resta fermo alla versione 145 o inferiore da mesi, prendilo come un invito a controllare gli aggiornamenti oggi stesso.

Cosa fare oggi?

Le correzioni sono aggiornamenti ordinari, e ogni difetto di questa campagna era stato corretto dal produttore prima che gli attacchi iniziassero.

• Su iPhone, andare in Impostazioni, poi Generali, poi Aggiornamento software, e installare quanto proposto. Chi possiede un iPhone 8, 8 Plus o X dovrebbe arrivare a iOS 16.7.16 o versione successiva.
• Su Android, aprire il Play Store, cercare Chrome e toccare Aggiorna. Verificare il risultato nelle impostazioni di Chrome, alla voce Informazioni su Chrome. Serve la versione 146 o successiva.
• Installare gli aggiornamenti di sistema di Android a parte, in Impostazioni, poi Sistema o Aggiornamento software. L'aggiornamento del browser da solo non chiude tutta la catena.
• Se il telefono non riceve più alcun aggiornamento, smettere di usarlo per la banca, gli account di lavoro e gli acquisti. Spostare quegli account su un dispositivo che riceve le patch.
• Se si usa un iPhone 8, 8 Plus o X per attività sensibili, iniziare a pianificarne la sostituzione. Correzioni occasionali non equivalgono al supporto completo.
• Sekoia non ha trovato persistenza, quindi nulla resta sul telefono dopo un riavvio, ma i cookie già sottratti restano sottratti; se un telefono non aggiornato potrebbe aver caricato una di queste pagine, disconnettersi da tutte le sessioni sui propri account importanti ed effettuare di nuovo l'accesso.

Niente di tutto questo è un consiglio nuovo. È la stessa routine che abbiamo descritto nel nostro pezzo del 2014 su una falla SSL di Apple: controllare gli aggiornamenti, installarli, ripetere. Il nostro hub sulla sicurezza mobile raccoglie altre basi di questo tipo in un unico posto.

Una VPN può proteggerti da un exploit del browser?

No. Una VPN cifra il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP ai siti che visiti. Ti mette al sicuro sul Wi-Fi pubblico, argomento che trattiamo nel nostro articolo sul Wi-Fi pubblico. Non applica patch a Safari o Chrome e non ispeziona le pagine che carichi.

Gli exploit di questa campagna sono arrivati attraverso il browser stesso. Se una pagina compromessa distribuisce un exploit, quell'exploit arriva dentro il tunnel cifrato, proprio come il resto della pagina. La VPN vede un flusso di traffico cifrato verso un solo server; non ha alcun modo per distinguere una pagina ostile da una innocua. La cifratura protegge i dati in transito, non il codice che il tuo browser esegue dopo l'arrivo.

Dove una VPN serve davvero è nel resto dell'uso dello smartphone. Sul Wi-Fi di hotel, aeroporti o caffè, tiene il tuo traffico lontano da chiunque altro sia su quella rete. È quanto descritto nel nostro articolo sul Wi-Fi pubblico. È un problema diverso da quello sfruttato da questa campagna.

I due livelli svolgono compiti diversi. Gli aggiornamenti chiudono le falle da cui gli exploit del browser dipendono. Una VPN protegge il tuo traffico sulle reti che non controlli. Una VPN è un livello, gli aggiornamenti sono l'altro.