Apple iOS 27.2.1 corregge due falle iMessage: a rischio le chat di gruppo

🛡️ Executive Summary

• Apple corregge due vulnerabilità di iMessage. Una poteva consentire l’ingresso non autorizzato nelle chat di gruppo, l’altra l’accesso ai messaggi precedenti all’aggiunta di un partecipante.
• Bluetooth e AirPlay ricevono ulteriori correzioni. Le falle riguardano l’accoppiamento, il controllo dei tentativi e la gestione della memoria; Apple non documenta attacchi attivi.
• L’aggiornamento riguarda più dispositivi. Insieme a iOS 27.2.1 arrivano patch per iPad, Mac, Apple Watch e versioni software precedenti ancora supportate.

Apple iOS 27.2.1 corregge due falle iMessage: a rischio le chat di gruppo

ios-27-2-1-falle-imessage-bluetooth

Apple rilascia iOS 27.2.1: due falle di iMessage potevano esporre le chat di gruppo. Correzioni anche per Bluetooth, AirPlay e Mac.

iOS 27.2.1, vulnerabilità iMessage, CVE-2026-113961, CVE-2026-113960, aggiornamenti Apple novembre 2026, macOS 27.2.1, sicurezza Bluetooth

<h3>🛡️ Executive Summary</h3> <ul> <li><strong>Apple corregge due vulnerabilità di iMessage.</strong> Una poteva consentire l’ingresso non autorizzato nelle chat di gruppo, l’altra l’accesso ai messaggi precedenti all’aggiunta di un partecipante.</li> <li><strong>Bluetooth e AirPlay ricevono ulteriori correzioni.</strong> Le falle riguardano l’accoppiamento, il controllo dei tentativi e la gestione della memoria; Apple non documenta attacchi attivi.</li> <li><strong>L’aggiornamento riguarda più dispositivi.</strong> Insieme a iOS 27.2.1 arrivano patch per iPad, Mac, Apple Watch e versioni software precedenti ancora supportate.</li> </ul>

Apple ha pubblicato il 9 novembre 2026 iOS 27.2.1 e iPadOS 27.2.1, con aggiornamenti coordinati per Mac e Apple Watch che intervengono su vulnerabilità della messaggistica e delle connessioni wireless. Il problema più significativo riguarda due falle di iMessage: una poteva permettere a un aggressore remoto di entrare in una conversazione di gruppo e riceverne i messaggi, mentre l’altra consentiva a un partecipante appena aggiunto di consultare comunicazioni precedenti. Le correzioni arrivano appena due settimane dopo il grande ciclo di patch del 26 ottobre e interessano direttamente gli utenti italiani che utilizzano i dispositivi supportati. Il nuovo rilascio è soprattutto un intervento sulla riservatezza, non un aggiornamento ricco di funzioni.

Due vulnerabilità di iMessage mettono in discussione la riservatezza delle chat

Nel bollettino ufficiale dedicato a iOS 27.2.1 e iPadOS 27.2.1 Apple descrive CVE-2026-113961 come un difetto di autorizzazione nell’app Messaggi: un aggressore remoto poteva unirsi a una chat iMessage di gruppo e ricevere i contenuti scambiati. L’azienda indica di aver rafforzato i controlli di validazione, senza pubblicare una dimostrazione dell’attacco né dettagli che consentano di stabilire quali conversazioni siano state effettivamente esposte. La seconda falla, CVE-2026-113960, permetteva invece a un partecipante appena aggiunto di leggere messaggi precedenti al suo ingresso. Apple riferisce di aver rimosso il codice vulnerabile. La prima falla riguarda chi può entrare, la seconda cosa può leggere: una distinzione importante per le conversazioni professionali e private.

Questo non dimostra una violazione della crittografia end-to-end: autorizzazioni e visibilità delle chat sono problemi distinti dalla cifratura. Il precedente rafforzamento post-quantistico di iMessage con PQ3 non elimina automaticamente gli errori nella gestione dei partecipanti.

Leggi anche: Apple corregge 329 falle: iOS 27.2 e macOS 27.2 guidano gli update

Bluetooth e AirPlay: l’attacco può iniziare nelle vicinanze del dispositivo

Il secondo fronte riguarda le connessioni wireless. Apple associa CVE-2026-113970 a una vulnerabilità use-after-free nel componente Bluetooth, potenzialmente in grado di provocare corruzione della memoria di un processo quando l’aggressore si trova nel raggio radio. Altre falle, tra cui CVE-2026-113964 e CVE-2026-113965, consentivano nelle condizioni descritte dagli avvisi di aggirare i limiti ai tentativi sui codici di accoppiamento o di stabilire un pairing senza l’interazione prevista dell’utente. Una diversa correzione, CVE-2026-113968, riguarda il controllo dei tentativi di abbinamento AirPlay nelle vicinanze del dispositivo. Diversamente da iMessage, questi scenari richiedono prossimità Bluetooth o, per CVE-2026-113969 nel servizio rapportd, la stessa rete locale. Le vulnerabilità coinvolgono dunque anche gli accessori e i servizi AirPlay: non significano però che ogni difetto consenta il controllo completo dell’iPhone.

iPhone, iPad e Mac: quali versioni ricevono le correzioni

iOS 27.2.1 è previsto per iPhone 11 e modelli successivi, mentre per iPad il bollettino elenca, tra gli altri, iPad Pro da 12,9 pollici dalla quarta generazione, iPad Pro da 11 pollici dalla seconda, iPad Air dalla quarta, iPad dalla nona e iPad mini dalla sesta generazione. Apple ha distribuito anche iOS 26.7.3 e iPadOS 26.7.3 per il ramo precedente, con un elenco di iPad compatibili più ampio. Sul desktop, le patch riguardano macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 e macOS Sequoia 15.8.3. Per gli indossabili, watchOS 27.2.1 interessa Apple Watch Series 9 e versioni successive. Una stessa chat può essere aperta su più dispositivi: aggiornare solo l’iPhone non basta a verificare l’intero ecosistema.

Per alcuni iPad meno recenti il ramo iPadOS 26 mantiene correzioni disponibili. Versione del sistema e compatibilità vanno quindi controllate dispositivo per dispositivo, senza confondere gli interventi di sicurezza con nuove funzioni.

Dal maxi aggiornamento di ottobre alle falle corrette a novembre

Il ciclo di aggiornamenti del 26 ottobre comprendeva centinaia di correzioni su iOS, macOS e altre piattaforme. Il rilascio del 9 novembre aggiunge però vulnerabilità specifiche, legate alle chat di gruppo e all’accoppiamento dei dispositivi. Non è un secondo annuncio delle 329 falle già documentate: per gli amministratori conta verificare che sia installata la patch più recente sul ramo software effettivamente utilizzato. La distinzione evita inoltre di sommare impropriamente difetti corretti su versioni diverse e di presentarli come un unico nuovo incidente.

Sul Mac resta distinto il caso delle otto chiavi di certificazione eMudhra risultate prevedibili, seguito dall’abbandono del mercato dei certificati SSL/TLS da parte dell’azienda. Il dossier riguarda la fiducia nelle autorità di certificazione, non l’accesso alle conversazioni. Non ci sono elementi per collegare causalmente le patch di novembre all’incidente eMudhra.

Continua con:

APT29 attacca iPhone e Android: CISA conferma lo sfruttamento di una falla Apple

Come aggiornare e cosa non dimostrano i bollettini Apple

Per gli utenti italiani il controllo è immediato: su iPhone e iPad il percorso è Impostazioni, Generali, Aggiornamento software; su Mac è Impostazioni di Sistema, Generali, Aggiornamento Software. Anche l’Apple Watch va verificato attraverso le impostazioni dell’orologio o l’app Watch sull’iPhone associato. Conviene controllare la versione proposta al proprio modello, mantenere un backup recente e aggiornare ogni dispositivo che accede alle stesse conversazioni. Installare soltanto gli aggiornamenti delle app non sostituisce una correzione che interessa componenti del sistema operativo. Gli avvisi Apple non confermano uno sfruttamento attivo delle nuove falle: definirle zero-day già usati in attacchi sarebbe scorretto. L’assenza di attacchi confermati non elimina il rischio tecnico né l’utilità delle patch. L’aggiornamento mostra perché la riservatezza dipende tanto dalla gestione degli accessi quanto dalla cifratura.