Ing. Calogero Bono
Apple ha rilasciato iOS 27.2.1 e gli aggiornamenti gemelli per iPadOS, macOS, watchOS e visionOS, senza nuove funzioni ma con correzioni di sicurezza. Le note iniziali erano scarne, poi l'azienda ha pubblicato la documentazione completa. Dentro ci sono falle in iMessage, AirPlay e Bluetooth e la chiusura del caso dei certificati eMudhra su macOS. Ora che i dettagli sono pubblici, aggiornare diventa più urgente.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica una vulnerabilità nota. Autorità di certificazione è l'ente che emette i certificati con cui un sito prova di essere quello vero. Chiave privata è il segreto che permette di firmare quei certificati, se esce può servire a falsificarli. Riga di comando indica strumenti come curl e git, che si usano da terminale e non passano dalle app di sistema. Rate limit è il tetto ai tentativi consentiti, per esempio con un codice di abbinamento.
Quali versioni ha rilasciato Apple?
Secondo HDblog, iOS 27.2.1 arriva a due settimane da iOS 27.2 e corregge bug e problemi di sicurezza. Escono insieme PadOS, macOS Golden Gate, watchOS e visionOS 27.2.1.
Le correzioni arrivano anche sui sistemi precedenti, con 26.7.3 e 18.7.12 per iOS e iPadOS. Per Mac ci sono macOS Tahoe 26.7.3 e macOS Sequoia 15.8.3, mentre watchOS 26 passa alla 26.6.1.
Avevamo già raccontato il pacchetto di aggiornamenti del 9 novembre. Nel frattempo prosegue la beta di iOS 27.3, di cui abbiamo scritto in occasione della prima beta.
Cosa si poteva fare con le falle di iMessage?
Due vulnerabilità riguardano iMessage. Con la CVE-2026-113961 un attaccante remoto avrebbe potuto entrare in una chat di gruppo senza invito e ricevere i messaggi. Con la CVE-2026-113960, chi veniva aggiunto a un gruppo avrebbe potuto leggere anche i messaggi scambiati prima del suo ingresso.
Sono scenari che toccano la riservatezza delle conversazioni, anche quelle di lavoro tra colleghi e collaboratori.
Che problemi c'erano in AirPlay e Bluetooth?
Secondo MacRumors, la maggior parte delle falle riguardava AirPlay e Bluetooth. Un dispositivo Bluetooth malevolo avrebbe potuto associarsi senza interazione dell'utente. Un altro difetto avrebbe permesso a un attaccante nelle vicinanze di corrompere la memoria di un processo.
Diversi bug consentivano di aggirare il limite ai tentativi del codice di abbinamento AirPlay. HDblog cita anche una falla in App Intents, che poteva dare a un'app accesso a dati sensibili senza le autorizzazioni. Apple si attribuisce quattro vulnerabilità, quindi trovate internamente.
Cosa c'entra eMudhra con macOS?
Come ricostruisce 9to5Mac, Mozilla aveva segnalato la compromissione delle chiavi private di otto autorità di certificazione intermedie gestite da eMudhra, società indiana. Apple aveva bloccato i certificati dal 19 ottobre, con altre protezioni il 23, tramite aggiornamenti automatici.
Restavano scoperti strumenti come curl e git, che potevano accettare quei certificati. macOS 27.2.1, 26.7.3 e 15.8.3 chiudono il buco e tolgono cinque certificati radice da /etc/ssl/cert.pem, tra cui tre eMudhra non compresi nella soluzione manuale iniziale.
Le app con un proprio elenco di certificati non seguono il blocco di Apple, e va chiesto agli sviluppatori.
Limiti da conoscere
Apple non ha detto se le falle siano state sfruttate in attacchi reali, e lo notano tutte le fonti. Non sappiamo quanti dispositivi fossero davvero esposti né se esistano exploit pubblici. Le fonti non spiegano come sia stato risolto ogni singolo difetto. Resta anche da vedere quali app con certificati propri verranno corrette dagli sviluppatori.
Cosa cambia per chi lavora con il digitale
Per chi usa iPhone e Mac in azienda, l'aggiornamento va fatto subito. Su iPhone e iPad si va in Impostazioni, Generali, Aggiornamento software. Su Mac in Impostazioni di Sistema, Aggiornamento Software. Chi gestisce una flotta di dispositivi dovrebbe verificare le versioni installate, anche quelle più vecchie come iOS 18.7.12.
Gli sviluppatori che usano curl o git su Mac, per esempio in script di build, devono aggiornare macOS o applicare la procedura manuale di Apple. Se un'app porta con sé i propri certificati radice, serve controllare con chi l'ha scritta.
Il nostro parere
La correzione è giusta, ma il metodo lascia perplessi. Note quasi vuote al rilascio e dettagli solo dopo spingono a installare alla cieca, mentre chi attacca confronta le patch in poche ore. Sul caso eMudhra Apple ha agito bene con i blocchi automatici, però ci sono voluti settimane per coprire gli strumenti da terminale, usati proprio dagli sviluppatori. Una lezione utile per chi gestisce server e infrastrutture. I certificati sono una catena, e basta un anello scoperto.
Domande frequenti
iOS 27.2.1 aggiunge nuove funzioni?
No. Secondo HDblog corregge bug e problemi di sicurezza, senza novità. Le funzioni nuove arriveranno con iOS 27.3, ora in beta.
Le falle sono state sfruttate in attacchi?
Non è noto. Apple non ha detto che siano state sfruttate nel mondo reale. Con i dettagli ormai pubblici, i dispositivi non aggiornati restano più esposti.
Quali sistemi più vecchi ricevono le correzioni?
Le versioni 26.7.3 e 18.7.12 per iOS e iPadOS. Per Mac ci sono macOS Tahoe 26.7.3 e Sequoia 15.8.3, per watchOS la 26.6.1.
Cos'è il problema dei certificati eMudhra?
È la compromissione delle chiavi di otto autorità di certificazione intermedie. Con quelle chiavi si potevano creare certificati falsi ma apparentemente validi, per copiare siti e intercettare dati.
Come aggiorno il mio dispositivo?
Su iPhone e iPad vai in Impostazioni, Generali, Aggiornamento software. Su Mac apri Impostazioni di Sistema e scegli Aggiornamento Software.
Cosa guardare dopo iOS 27.2.1, tra beta 27.3 e app con certificati propri
Le patch sono uscite, ma la storia non è chiusa. Contano i prossimi rilasci e il comportamento delle app che non seguono il blocco di Apple.
- Controlla se gli strumenti che usi portano un proprio elenco di certificati radice e chiedi agli sviluppatori.
- Segui le beta di iOS 27.3 per capire quali altre correzioni arriveranno.
- Tieni d'occhio eventuali segnalazioni di exploit pubblici per le CVE di iMessage, AirPlay e Bluetooth.
