Apple batte ogni record: 194 falle di sicurezza chiuse con l'aggiornamento 26.6

Lunedì 27 luglio 2026, Apple ha rilasciato iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, watchOS 26.6, tvOS 26.6 e visionOS 26.6, in quello che è stato definito l'aggiornamento di sicurezza singolo più grande nella storia dell'azienda. Su tutte le piattaforme, Apple ha risolto 194 CVE uniche, depurando il conteggio dalle sovrapposizioni tra i diversi sistemi operativi .

Apple ha dichiarato che nessuna di queste vulnerabilità è stata sfruttata attivamente, ma ora che le correzioni sono pubbliche, i dispositivi non aggiornati potrebbero diventare un bersaglio .

Il numero di correzioni per piattaforma

Il volume delle correzioni varia tra i sistemi operativi Apple:

• macOS Tahoe 26.6: Tra 143 e 155 CVE uniche (le cifre ufficiali Apple e quelle di terze parti differiscono leggermente) .
• iOS e iPadOS 26.6: 78 correzioni di sicurezza, legate a 87 numeri CVE unici .
• watchOS 26.6: 84 correzioni di sicurezza .
• tvOS 26.6: 84 correzioni di sicurezza .
• visionOS 26.6: 84 correzioni di sicurezza .

Apple ha anche distribuito macOS Sequoia 15.7.8 e macOS Sonoma 14.8.8 per i Mac più vecchi che non eseguono macOS Tahoe, entrambi focalizzati sulle stesse correzioni di sicurezza .

Le vulnerabilità più gravi risolte

Tra le falle più critiche segnalate da Apple:

• MediaRemote: un'app poteva ottenere privilegi di root sfruttando un problema di parsing nella gestione dei percorsi delle directory .
• AVEVideoEncoder (CVE-2026-64747): un buffer overflow che permetteva a un'app di eseguire codice arbitrario con privilegi del kernel .
• Game Center e libc: vulnerabilità di sandbox escape: un'app malevola poteva uscire dalla propria sandbox .
• CloudAttestation (CVE-2026-43813): un'app appositamente creata poteva bypassare i controlli di firma del codice .
• ImageIO: esecuzione di codice arbitrario durante l'elaborazione di un'immagine malintenzionata .
• SceneKit: tre vulnerabilità che potevano portare all'esecuzione di codice arbitrario durante l'elaborazione di file malintenzionati .
• Kernel: più di una dozzina di correzioni per corruzione della memoria del kernel, divulgazione di informazioni e terminazione imprevista del sistema .
• WebKit: numerose correzioni per esposizione della memoria di processo, spoofing dell'interfaccia, violazioni della sandbox degli iframe e crash di Safari .

L'intelligenza artificiale ringraziata insieme ai ricercatori umani

Forse la tendenza più sorprendente di questo aggiornamento è il posto d'onore dato agli strumenti di IA nelle note di sicurezza di Apple :

• Claude di Anthropic e i ricercatori di Anthropic sono stati accreditati per correzioni in WebKit, WebKit Storage e WebDAV, alcune delle quali realizzate insieme al team di ricerca di Calif.io .
• OpenAI Codex Security è accreditato per aver contribuito alla scoperta di vulnerabilità, proseguendo una tendenza già vista nell'aggiornamento iOS 26.5.2 .
• L'AI Red Team di Nvidia è citato nelle note di sicurezza per aver trovato vulnerabilità .
• Il modello GLM di Z.AI è anch'esso accreditato insieme ai ricercatori umani .

Questa novità segue la precedente dichiarazione di Apple di aver accelerato la cadenza degli aggiornamenti di sicurezza proprio in risposta agli strumenti di hacking basati sull'IA. Il volume di correzioni in questo aggiornamento, il più grande nella storia di Apple, è attribuito in parte al fatto che l'IA aiuta i ricercatori a trovare le vulnerabilità più rapidamente .

Stato dello sfruttamento attivo

Apple non identifica nessuna di queste vulnerabilità come già sfruttata attivamente . Ciò è in linea con la strategia dichiarata dall'azienda di rilasciare patch più rapidamente, anticipando persino correzioni originariamente previste per la 26.6 nell'aggiornamento 26.5.2, in risposta alla maggiore velocità degli aggressori potenziati dall'IA .

Ottimizzazione di Spotlight in vista di iOS 27

Oltre alla sicurezza, macOS Tahoe 26.6, iOS 26.6 e iPadOS 26.6 includono un'importante modifica sotto il cofano: un'ottimizzazione dell'indice di Spotlight specificamente pensata per prepararsi ai prossimi rilasci della versione 27 attesi per l'autunno . Apple ha riprogettato l'indice di ricerca al WWDC per renderlo più stabile, completo e reattivo, e questo aggiornamento pre-ottimizza l'indice per garantire un'esperienza di aggiornamento più fluida quando arriveranno iOS 27, macOS 27 e iPadOS 27 .

Come aggiornare

Tutti gli aggiornamenti 26.6 di Apple sono già disponibili. Gli utenti di iPhone e iPad possono aggiornare da Impostazioni > Generali > Aggiornamento Software, mentre gli utenti Mac possono usare Impostazioni di Sistema > Aggiornamento Software. Gli aggiornamenti di watchOS e tvOS sono disponibili tramite le rispettive app companion.

Considerato il numero record di correzioni e l'assenza di uno sfruttamento attivo, gli esperti di sicurezza consigliano di aggiornare al più presto per chiudere la finestra di vulnerabilità prima che gli aggressori possano ingegnerizzare inversamente le patch.