iOS 26.5.2: Apple accelera le correzioni di sicurezza e indaga su un grave attacco alla supply chain

• Volume e portata delle patch: L'aggiornamento contiene più di 25 miglioramenti alla sicurezza, con oltre 15 di questi relativi a WebKit . È disponibile per tutti i modelli di iPhone a partire dall'iPhone 11 .
• Componenti chiave interessati: Le vulnerabilità correggono falle in WebKit, nel kernel e in WebRTC, tra gli altri componenti .
• La descrizione di Apple: Il bollettino di sicurezza ufficiale afferma esplicitamente: "Questo aggiornamento fornisce correzioni di sicurezza rese inizialmente disponibili nelle beta di iOS 26.6 e iPadOS 26.6" .

Record di Patch nel 2026

Il 2026 si sta delineando come l'anno con il maggior numero di patch di sicurezza mai rilasciate da Apple.

• L'aggiornamento dell'11 maggio 2026 ha corretto da 84 a 170 vulnerabilità (il numero varia a seconda delle piattaforme considerate) su tutti i sistemi operativi Apple .
• Il ciclo di patch di marzo 2026 ne ha corrette 85 .
• Gli analisti hanno sottolineato che, "seguendo le tendenze in crescita degli anni precedenti, Apple sembra sulla buona strada per battere un altro record per le patch di sicurezza rilasciate nel 2026" .
• iOS 26.5.2 si inserisce in questo schema come una patch critica non programmata ma necessaria, accelerando le correzioni dal ramo 26.6 .

La Scoperta delle Vulnerabilità: Il Ruolo dell'Intelligenza Artificiale

Le vulnerabilità corrette in iOS 26.5.2 sono state scoperte da vari team di sicurezza, tra cui diversi che utilizzano l'intelligenza artificiale:

• OpenAI Codex Security: Lanciato il 6 marzo 2026, è un agente di sicurezza che analizza i repository per individuare vulnerabilità complesse . In una beta di 30 giorni, ha scoperto oltre 11.000 bug critici e ad alta gravità .
• Anthropic's Claude (Code Security): Lanciato il 20 febbraio 2026, ha dimostrato che gli strumenti SAST tradizionali non riescono a identificare intere classi di vulnerabilità .
• NVIDIA AI Red Team: Ha divulgato pubblicamente vulnerabilità negli assistenti di codifica AI, tra cui una tecnica di iniezione AGENTS.md che poteva dirottare OpenAI Codex .

Precisazione importante: Le fonti disponibili confermano che OpenAI Codex Security, Claude Code Security e NVIDIA AI Red Team sono attivi nella ricerca di vulnerabilità, ma nessun bollettino ufficiale o rapporto nomina esplicitamente questi team come scopritori delle specifiche CVE in iOS 26.5.2. L'avviso di sicurezza ufficiale di Apple per iOS 26.5.2 accredita singoli ricercatori, non marchi di tecnologia AI . La connessione è contestuale: questi strumenti AI operavano su larga scala nello stesso periodo, e alcune classi di vulnerabilità (corruzione della memoria di WebKit, problemi del kernel) sono proprio ciò che il fuzzing e l'analisi statica basati su AI sono progettati per individuare.

Attacco Ransomware a Tata Electronics: Una Falla nella Supply Chain

Parallelamente, Apple sta affrontando un grave incidente di sicurezza nella sua catena di fornitura, legato al fornitore indiano Tata Electronics.

• Cosa è successo: Un gruppo ransomware chiamato World Leaks ha pubblicato 204.341 file per un totale di 630,4 GB sul loro sito nel dark web il 12 giugno 2026 . Il gruppo ha affermato che i dati provenivano da Tata Electronics.
• Dati esposti: Il dataset include documenti di progettazione e specifiche di componenti per Apple e Tesla, disegni tecnici e meccanici, e scansioni complete di passaporti dei dipendenti . I dati includono materiale legato alla produzione di iPhone attuali e futuri .
• La risposta di Apple: Apple sta collaborando con Tata Electronics nelle indagini . Tata Electronics ha confermato l'incidente di cybersecurity .
• Attribuzione: Ricercatori di sicurezza hanno riferito a Reuters che il gruppo ransomware ha pubblicato più di 200.000 file, inclusi documenti di Apple e Tesla . L'incidente è stato riportato da Reuters, 9to5Mac e Skeletos .

Riepilogo