iPhone 18 Pro violato con Lockdown Mode attivo: il jailbreak di Calif resiste a iOS 27.2

📌 In Sintesi

• Il gruppo di hacker Calif mostra un iPhone 18 Pro sottoposto a jailbreak con Lockdown Mode attivo, utilizzando un PDF malevolo trasferito via AirDrop e accettato dall’utente.
• Il jailbreak appare ancora presente dopo l’aggiornamento a iOS 27.2, ma non è dimostrato che la tecnica possa compromettere direttamente un dispositivo già aggiornato.
• Calif non ha pubblicato la catena di exploit né uno strumento utilizzabile dagli utenti. La dimostrazione non prova un’infezione zero-click o una campagna di spyware mercenario.

Un iPhone 18 Pro con Lockdown Mode attivo viene sottoposto a jailbreak e mantiene apparentemente la compromissione anche dopo l’installazione di iOS 27.2. La dimostrazione arriva dal gruppo di ricercatori Calif, che torna a mettere alla prova le difese Apple poco più di una settimana dopo un precedente esperimento condotto su iPhone Duo. Il nuovo caso assume particolare rilevanza perché coinvolge Lockdown Mode, la modalità di protezione rafforzata progettata per difendere giornalisti, attivisti e altre persone esposte ad attacchi informatici altamente sofisticati. Il vettore utilizzato è un documento PDF trasferito attraverso AirDrop e accettato dall’utente. La persistenza del jailbreak dopo l’aggiornamento costituisce l’elemento più significativo, ma la documentazione resa pubblica non permette ancora di stabilire quali vulnerabilità siano state sfruttate né come il dispositivo conservi l’accesso privilegiato.

Calif mostra un jailbreak su iPhone 18 Pro con Lockdown Mode attivo

La dimostrazione viene pubblicata il 3 novembre 2026 attraverso un post del gruppo Calif su X. Il video mostra un iPhone 18 Pro con Lockdown Mode abilitato sul quale è già stata ottenuta una condizione di jailbreak. I ricercatori procedono quindi all’installazione di iOS 27.2 e verificano che il dispositivo continui apparentemente a mantenere lo stato modificato dopo l’aggiornamento. Secondo la ricostruzione disponibile, il processo comincia con l’invio di un PDF malevolo attraverso AirDrop, che il destinatario accetta sul telefono.

Non vengono però illustrati tutti i passaggi successivi e non è possibile determinare dal materiale descritto se l’accettazione del documento sia sufficiente a innescare l’exploit o se siano necessarie ulteriori interazioni. La distinzione è fondamentale perché un documento ricevuto e accettato volontariamente non costituisce, sulla base delle informazioni disponibili, la dimostrazione di un attacco zero-click. Il gruppo non divulga il codice, non pubblica una catena di exploit riproducibile e non identifica una specifica vulnerabilità di iOS utilizzata nell’operazione.

Il precedente di Calif: un PDF manipolato aveva già colpito CoreGraphics

Il nome Calif era già comparso nelle ricerche sulle vulnerabilità Apple. Il gruppo aveva infatti sviluppato un proof-of-concept relativo alla CVE-2026-86950, una vulnerabilità di CoreGraphics che permette di provocare una scrittura fuori dai limiti della memoria durante l’elaborazione di un PDF contenente un font TrueType appositamente manipolato. La ricerca, analizzata nell’approfondimento sulla vulnerabilità CoreGraphics e sul PoC pubblicato da Calif, aveva ricostruito il problema attraverso il confronto tra versioni differenti di iOS, arrivando a dimostrare il comportamento anomalo del componente grafico. In quel caso il codice pubblico documentava una condizione sfruttabile, ma non una catena completa capace di ottenere automaticamente il controllo dell’iPhone. Il nuovo esperimento presenta un elemento comune, l’utilizzo di un documento PDF come possibile vettore d’attacco, ma questa somiglianza non dimostra che Calif abbia riutilizzato la CVE-2026-86950. Non sono stati divulgati indicatori tecnici che consentano di collegare direttamente i due episodi e attribuire loro lo stesso difetto. Il precedente mostra piuttosto come l’elaborazione dei documenti continui a rappresentare una superficie sensibile nella sicurezza dei dispositivi Apple, anche quando il sistema operativo introduce protezioni più restrittive.

Leggi anche: Apple CoreGraphics, PoC pubblico per CVE-2026-86950 e pista WhatsApp

Perché Lockdown Mode rende la dimostrazione particolarmente importante

Lockdown Mode nasce per ridurre la superficie esposta agli attacchi contro utenti considerati bersagli di alto valore. Nella documentazione ufficiale Apple, la funzionalità viene descritta come una protezione estrema e opzionale che modifica il comportamento di applicazioni, connessioni e servizi. Quando viene attivata, il sistema limita gli allegati nei messaggi, disabilita alcune tecnologie web, restringe le chiamate FaceTime provenienti da contatti sconosciuti e applica controlli più rigidi alle connessioni con dispositivi esterni. L’obiettivo non è rendere l’iPhone tecnicamente invulnerabile, ma ridurre le opportunità di sfruttamento utilizzate dagli operatori di spyware mercenario. Il valore di questa architettura era emerso già nel 2023, quando una ricerca aveva documentato un tentativo di infezione da parte di uno spyware NSO bloccato dalla modalità Lockdown. Anche l’analisi dedicata alle precedenti dichiarazioni Apple sull’efficacia di Lockdown Mode aveva evidenziato il ruolo della protezione contro gli attacchi mirati. La dimostrazione di Calif è quindi significativa perché riguarda un dispositivo sul quale questa difesa risulta attiva, ma non consente da sola di concludere che tutti i meccanismi della modalità siano stati aggirati: mancano dettagli sul percorso effettivo dell’exploit e sulle condizioni iniziali del telefono.

Il jailbreak sopravvive a iOS 27.2, ma la persistenza deve essere chiarita

L’aspetto tecnicamente più delicato riguarda la permanenza del jailbreak dopo l’aggiornamento del sistema operativo. In condizioni ordinarie, un aggiornamento iOS sostituisce numerosi componenti software e introduce correzioni che possono rendere inutilizzabili le tecniche precedentemente impiegate per ottenere privilegi elevati. La dimostrazione suggerisce che il gruppo Calif abbia individuato una modalità per conservare il controllo privilegiato oppure per ripristinarlo dopo il passaggio alla nuova versione, ma non chiarisce quale dei due scenari sia stato effettivamente realizzato. Non vengono fornite informazioni su eventuali modifiche al processo di avvio, sulle componenti interessate, sui privilegi mantenuti o sulla presenza di un meccanismo capace di sopravvivere anche a un ripristino completo del dispositivo. Soprattutto, non è dimostrato che un iPhone già aggiornato a iOS 27.2 possa essere compromesso utilizzando lo stesso PDF. Il punto assume particolare importanza perché Apple ha distribuito proprio con iOS 27.2 un ampio pacchetto di correzioni, documentato nell’analisi delle 329 vulnerabilità affrontate attraverso gli aggiornamenti dell’ecosistema Apple. La persistenza osservata nel video, dunque, non deve essere confusa con la conferma di una nuova vulnerabilità sfruttabile sulla versione aggiornata.

Jailbreak e spyware non sono la stessa cosa: cosa dimostra davvero il video

Una distinzione necessaria riguarda il significato stesso di jailbreak. Il termine identifica una condizione nella quale vengono superate alcune restrizioni imposte dal produttore sul sistema operativo, mentre una compromissione condotta attraverso spyware implica un’attività malevola che può comprendere sorveglianza, accesso ai dati ed eventuale esfiltrazione. Un jailbreak può costituire una componente di una catena offensiva, ma non dimostra automaticamente che sul dispositivo sia stato installato uno spyware, che siano stati sottratti dati o che un attaccante remoto possa eseguire le medesime operazioni senza interazione dell’utente. Calif, secondo le informazioni disponibili, ha dichiarato in precedenza l’intenzione di comunicare le vulnerabilità ad Apple e di non distribuire uno strumento di jailbreak destinato al pubblico. Questo colloca l’esperimento nel perimetro di una dimostrazione di ricerca, senza trasformarlo automaticamente in un incidente osservato contro utenti reali. La differenza emerge con chiarezza confrontando il caso con la compromissione documentata dell’iPhone del rettore dell’Università di Belgrado tramite Pegasus, dove un’analisi forense aveva identificato un’infezione effettiva e un attacco zero-click. Nel caso Calif mancano invece una vittima reale, una campagna attribuita e un riscontro indipendente sulla catena completa.

Lockdown Mode resta una difesa utile contro gli attacchi mirati

La nuova dimostrazione non rende automaticamente inutile Lockdown Mode. Apple aveva dichiarato a TechCrunch nel marzo 2026 di non essere a conoscenza di infezioni riuscite da spyware mercenario contro dispositivi con questa protezione attiva. Quella dichiarazione riguardava gli attacchi effettivamente conosciuti dall’azienda fino a quel momento e non rappresentava una garanzia assoluta sull’impossibilità di superare le difese. La dimostrazione Calif introduce un elemento nuovo nella valutazione della robustezza tecnica del sistema, senza dimostrare da sola che la situazione descritta da Apple sia cambiata sul piano delle compromissioni reali. La prudenza rimane quindi essenziale soprattutto per le categorie esposte ad attività di sorveglianza, già interessate dalle notifiche Apple inviate contro possibili attacchi con spyware mercenario. Aggiornare il sistema, conservare attive le protezioni previste e valutare attentamente i documenti ricevuti da mittenti sconosciuti restano misure pertinenti, mentre non esistono elementi per sostenere che AirDrop permetta indiscriminatamente di compromettere qualunque iPhone protetto.

Continua con:

Pegasus infetta con zero-click iMessage un attivista serbo: lo spyware ritorna

Falso preorder iPhone Duo usa DarkSword: basta aprire la pagina per l’attacco

Il vero interrogativo riguarda la catena di exploit e la resistenza agli aggiornamenti

Il caso Calif apre due questioni distinte. La prima riguarda il percorso che consente a un PDF ricevuto tramite AirDrop di contribuire al jailbreak di un iPhone con Lockdown Mode attivo; la seconda riguarda il motivo per cui lo stato modificato appare ancora presente dopo l’installazione di iOS 27.2. Senza una descrizione tecnica completa non è possibile sapere se le due capacità dipendano dalla stessa vulnerabilità, da più difetti concatenati o da caratteristiche particolari dell’ambiente di prova. La dimostrazione mostra comunque perché un aggiornamento di sistema e una modalità di protezione rafforzata debbano essere valutati come strumenti di riduzione del rischio, non come garanzie assolute contro ogni tecnica offensiva. Per Apple la priorità sarà comprendere le condizioni effettive dell’esperimento e stabilire se esista un difetto correggibile; per gli utenti rimane fondamentale evitare interpretazioni allarmistiche non sostenute dai dati. Il risultato più importante non è la presunta sconfitta definitiva di Lockdown Mode, ma l’emersione di un jailbreak dimostrativo la cui persistenza dopo l’aggiornamento richiede ancora spiegazioni tecniche.