iOS 27.2.1 e macOS 27.2.1: le falle chiuse in Messages e AirPlay
Apple ha rilasciato iOS 27.2.1 e iPadOS 27.2.1, insieme a macOS Golden Gate 27.2.1 e ad aggiornamenti minori per watchOS e visionOS. Nessuna funzione nuova: dentro c’è solo sicurezza.
Le note complete sono arrivate poche ore dopo il rilascio, come succede quando l’azienda vuole dare il tempo di installare prima di raccontare cosa ha corretto. E questa volta c’era parecchio da raccontare, dai gruppi iMessage all’accoppiamento AirPlay, fino a un caso di certificati compromessi che riguarda i Mac.
Le versioni uscite
Apple ha aggiornato tre rami di iOS in parallelo, così anche chi è rimasto su versioni precedenti riceve le patch.
- iOS 27.2.1 e iPadOS 27.2.1 per i dispositivi più recenti
- iOS 26.7.3 e iPadOS 26.7.3 per la generazione precedente
- iOS 18.7.12 e iPadOS 18.7.12 per i modelli più vecchi ancora supportati
- macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 e macOS Sequoia 15.8.3
- watchOS 27.2.1 e watchOS 26.6.1, più visionOS 27.2.1
Molte correzioni sono identiche da una piattaforma all’altra, perché il codice è condiviso. Se una falla sta in una libreria comune, sistemarla su iPhone ma non su Mac lascia una porta aperta sulla scrivania.
Messages: si poteva entrare in un gruppo senza invito
Secondo Apple, un attaccante remoto poteva potenzialmente entrare in una chat di gruppo iMessage senza essere invitato. Non serviva un click della vittima, né un allegato strano: bastava conoscere il gruppo giusto.
Il rischio è duplice. Da un lato si legge una conversazione che non doveva essere pubblica, dall’altro si può scrivere dentro il gruppo fingendosi un membro, con tutto quello che ne segue in fatto di link e richieste di soldi.
AirPlay: il codice di accoppiamento si poteva indovinare
Un attaccante nel raggio Bluetooth poteva aggirare il limite ai tentativi sul codice di accoppiamento, quindi provare combinazioni senza essere bloccato dopo i primi errori. Con un codice a quattro cifre e nessun freno, diventa questione di tempo.
A quel punto si può mandare un flusso video sul televisore di casa senza toccare il telefono di nessuno. La patch chiude il bypass e riporta in vigore il blocco dei tentativi. Insieme ad AirPlay sono state corrette falle generiche nel Bluetooth, quelle che non fanno notizia ma tengono in piedi metà delle truffe con accessori fasulli.
Il caso eMudhra sui Mac
La parte meno ovvia del rilascio è sui computer. Apple ha pubblicato un documento a parte per le CA intermedie compromesse di eMudhra, autorità di certificazione indiana. macOS 27.2.1, macOS 26.7.3 e macOS Sequoia 15.8.3 rimuovono la root emSign ECC Root CA (G3) dal file /etc/ssl/cert.pem, quello usato dagli strumenti da terminale.
Chi non può aggiornare può togliere la root a mano, con i comandi indicati da Apple. L’operazione tocca ogni strumento che legge quel file: dopo la rimozione, alcuni siti firmati da quelle CA potrebbero non essere più verificabili dalle utility da terminale.
Il controllo da fare prima
Un backup locale o su iCloud, poi Impostazioni > Generali > Aggiornamento software su iPhone e iPad. Su Mac il percorso è Impostazioni di Sistema > Generali > Aggiornamento software. Se il pacchetto non compare, riavvia e riprova: la distribuzione avviene a scaglioni.
Chi deve installare subito
Chi usa iMessage con persone fuori dalla propria cerchia, chi ha un Apple TV o un HomePod in casa e chi amministra un Mac con strumenti da terminale. L’aggiornamento non aggiunge niente di visibile, ma chiude una strada che qualcuno stava già percorrendo.
Vale anche per i modelli più vecchi: iOS 18.7.12 esiste proprio per non lasciare scoperti gli iPhone che non ricevono il ramo 27. Chi resta su iOS e vuole seguire le magagne del sistema può leggere il bug dell’uscita HDMI che Apple non ha corretto.
Domande frequenti
iOS 27.2.1 porta funzioni nuove?
No. È un aggiornamento di sicurezza con correzioni di bug, senza novità visibili nell’interfaccia.
Devo aggiornare anche il Mac?
Sì, se hai un Mac con macOS Golden Gate, Tahoe o Sequoia. Sul Mac c’è in più la questione dei certificati eMudhra.
L’aggiornamento non compare, cosa faccio?
Riavvia il dispositivo e controlla di nuovo, meglio sotto Wi-Fi e con batteria sopra il 50%.
La falla di Messages riguarda anche gli SMS?
No. La correzione citata da Apple riguarda iMessage, il servizio Apple. Gli SMS passano dalla rete dell’operatore.
Chi ha un iPhone troppo vecchio per iOS 27 è al sicuro?
Riceve iOS 18.7.12, con le stesse correzioni per i modelli ancora supportati. Se non arriva nemmeno quella, il supporto è finito.
Le note integrali sono nel riepilogo di 9to5Mac e nel documento Apple sulle CA eMudhra. Chi sta riordinando le impostazioni di messaggistica può partire dalla guida alle cinque impostazioni di Google Messages e, per i Mac, dalle novità di macOS 27.3 sull’accesso completo al disco.