Apple ha rilasciato il 9 novembre un giro completo di aggiornamenti di sicurezza per iOS 27.2.1, iPadOS 27.2.1, macOS 27.2.1, watchOS 27.2.1 e visionOS 27.2.1, insieme a versioni parallele per i dispositivi meno recenti (iOS e iPadOS 26.7.3, iOS e iPadOS 18.7.12, macOS Tahoe 26.7.3 e macOS Sequoia 15.8.3). Le patch coprono nove vulnerabilità, alcune delle quali permettevano a un malintenzionato di collegarsi via Bluetooth senza alcuna interazione da parte della vittima.
Il cuore del problema riguarda tre fronti distinti: Bluetooth, AirPlay e l’app Messaggi. Circa metà dei bug è stata scovata internamente dal team di sicurezza Apple, mentre il resto arriva da ricercatori esterni che hanno segnalato le falle tramite i canali ufficiali dell’azienda.
Il bug più delicato per la privacy riguarda Messaggi: un problema di autorizzazione (CVE-2026-113961) consentiva a un attaccante di infilarsi in una chat di gruppo iMessage senza alcun invito da parte dei partecipanti, leggendo di fatto conversazioni riservate. Apple lo ha risolto con “una validazione migliorata” della logica che gestisce l’elenco dei membri autorizzati in ogni chat.
Un secondo difetto, distinto ma collegato (CVE-2026-113960), permetteva invece a un utente aggiunto correttamente al gruppo di risalire ai messaggi scambiati prima del suo ingresso: un comportamento che non dovrebbe mai verificarsi in una chat protetta. In questo caso Apple ha semplicemente rimosso il codice responsabile dell’errore.
Bluetooth e AirPlay: le falle più tecniche
Sul fronte wireless, la vulnerabilità più seria (CVE-2026-113970) permetteva a chiunque fosse nel raggio Bluetooth di un dispositivo di avviare una connessione senza alcun intervento dell’utente, con rischio di corruzione della memoria del processo. Apple non ha specificato la tecnica di attacco, ma la dinamica ricorda da vicino le vulnerabilità Bluetooth Low Energy Re-Pairing descritte a gennaio 2026 da ricercatori francesi, che avevano già spinto Apple a irrobustire la logica di re-pairing con iOS e macOS 26. Il fatto che siano coinvolte così tante versioni del protocollo lascia pensare che gli ingegneri di Cupertino abbiano individuato internamente una nuova debolezza nello stesso meccanismo.
Parallelamente, due correzioni lato CoreUtils e rapportd (CVE-2026-113965, CVE-2026-113964, CVE-2026-113969) intervengono su un bug che riguarda AirPlay: un attaccante nel raggio Bluetooth, o semplicemente connesso alla stessa rete, poteva sfruttare un attacco a forza bruta per superare il limite di tentativi previsto durante l’inserimento del PIN di sicurezza richiesto per associare un dispositivo a un ricevitore AirPlay (una Apple TV, un televisore compatibile o un Mac). Con combinazioni di PIN numericamente limitate, bypassare il blocco anti brute-force significava poter ottenere l’accesso nel tempo. La dinamica richiama l’attacco AirBorne documentato nel 2025 da Oligo, anche se qui l’impatto appare più circoscritto e la falla è stata scoperta direttamente da Apple.
La lista delle correzioni include anche un problema di gestione dei permessi in App Intents (CVE-2026-113963, segnalato dal ricercatore László Várady), che consentiva alle app di accedere a dati utente sensibili senza le dovute autorizzazioni, e una falla nella libreria di compressione brotli (CVE-2026-111497), dove un input malevolo poteva innescare una scrittura fuori dai limiti di memoria con conseguente corruzione.
L’elenco dei dispositivi coperti è ampio: iPhone 11 e successivi, gli iPad Pro da 12,9″ di quarta generazione in su, iPad Pro 11″ di seconda generazione in su, iPad Air di quarta generazione in su, iPad di nona generazione in su, iPad mini di sesta generazione in su, tutti i modelli di Apple Watch supportati e Apple Vision Pro. Chi usa ancora hardware meno recente non resta scoperto: le patch parallele per iOS/iPadOS 26.7.3, 18.7.12 e macOS Sequoia 15.8.3 coprono gli stessi fronti d’attacco. Vista la natura delle falle, che non richiedono clic né download sospetti ma solo la vicinanza fisica o la condivisione della stessa rete, l’aggiornamento andrebbe installato entro oggi su ogni dispositivo Apple in proprio possesso.