Apple corregge una falla CoreGraphics già sfruttata: aggiornamenti per iPhone XS, XR e iPad di settima generazione
Chi ha un iPhone XS, un iPhone XR o un iPad di settima generazione lo sa: per quei modelli il ciclo degli aggiornamenti si è chiuso da un pezzo. Non significa che Apple li abbia abbandonati. Il 26 ottobre sono arrivati iOS 18.7.11 e iPadOS 18.7.11, due update senza funzioni nuove che chiudono tre falle di sicurezza.
Una, secondo il bollettino Apple, sarebbe già stata sfruttata in attacchi estremamente sofisticati contro obiettivi specifici. Nello stesso giro di rilasci ci sono iOS 26.7.2, iPadOS 26.7.2, macOS Tahoe 26.7.2, macOS Sequoia 15.8.2 e tvOS 26.6.1.
Cosa arriva con iOS 18.7.11
I destinatari sono quattro: iPhone XS, iPhone XS Max, iPhone XR e iPad di settima generazione. Sono gli ultimi dispositivi rimasti fuori da iOS 26, quindi Apple continua a servirli con il ramo 18 del sistema.
Nessuna icona nuova, nessun menu ridisegnato: solo patch. Chi non aggiorna da mesi dovrebbe farlo adesso, la falla principale non richiede manovre particolari per essere innescata.
La falla in CoreGraphics, spiegata semplice
CoreGraphics è il framework che disegna sullo schermo e interpreta immagini, PDF e altri formati grafici. Era già stato coinvolto in una falla corretta a fine settembre con iOS 26.7.1.
Il difetto chiuso ora è un out-of-bounds write, cioè una scrittura di memoria fuori dai limiti previsti. Basta aprire un file costruito ad arte perché il sistema scriva dove non dovrebbe, con la possibilità di esecuzione di codice arbitrario. Apple ha corretto con controlli più rigorosi sui limiti, CVE-2026-86950.
Pesa la nota sullo sfruttamento: Apple parla di una segnalazione secondo cui il problema sarebbe stato usato contro individui specifici, su versioni di iOS precedenti alla 27. Non è malware di massa, è roba da bersaglio scelto. Il che non rende l’update meno urgente: i kit che sfruttano queste falle vengono rivenduti per anni.
Tip: per capire se l’update è passato, apri Impostazioni, Generale, Info: alla voce Versione deve comparire 18.7.11. Se in Aggiornamento software non vedi nulla, libera un paio di GB e riavvia il telefono. Su iPhone XS e XR conviene il Wi-Fi: il file supera la soglia oltre la quale iOS chiede una rete fissa.
Le altre due correzioni del bollettino
Oltre a CoreGraphics, iOS 18.7.11 chiude altri due buchi. CVE-2026-65339 è un problema logico che permetteva a un’app di leggere informazioni sensibili, risolto con controlli migliori. CVE-2026-86990 consentiva a un’app di accedere alla fotocamera senza permesso, corretto stringendo le regole di accesso.
Sembrano dettagli, in realtà rendono inutile il pannello dei permessi: se un’app accede alla camera senza chiedere, la trasparenza che iOS promette da anni vale poco. Lo stesso vale su Android, dove gli accessi rapidi nelle impostazioni di sicurezza hanno dato problemi fino a poche settimane fa.
iOS 26.7.2, 134 vulnerabilità e nessuno sfruttamento
Chi è già su iOS 26 e non è passato a iOS 27.2 ha ricevuto iOS 26.7.2 e iPadOS 26.7.2, con 134 vulnerabilità corrette e nessuna segnalata come sfruttata. Stessa struttura per macOS Tahoe 26.7.2 e macOS Sequoia 15.8.2, che coprono i Mac rimasti sul ramo precedente.
Chi invece ha già installato iOS 27.2, con Siri che ricorda le conversazioni e parla italiano, ha ricevuto un pacchetto separato e più corposo. Le due linee viaggiano in parallelo.
tvOS 26.6.1, l’unico con una novità visibile
È l’unico rilascio della giornata che cambia qualcosa per l’utente finale: aggiunge il supporto al Siri Remote di quarta generazione su Apple TV HD e su Apple TV 4K di prima generazione.
Come aggiornare, passo per passo
Su iPhone e iPad si passa da Impostazioni, Generale, Aggiornamento software. Su Mac da Impostazioni di Sistema, Generale, Aggiornamento software. Su Apple TV da Impostazioni, Sistema, Aggiornamento software.
Prima di partire fai un backup: su un dispositivo di sette o otto anni lo spazio è poco e una patch può trasformarsi in un pomeriggio perso.
Per capire quanto a lungo Apple tenga in piedi i modelli vecchi c’è un precedente: nel gennaio 2026 Cupertino ha pubblicato un aggiornamento per un iPhone uscito tredici anni prima.
Domande frequenti
iPhone XS riceverà altri aggiornamenti?
Sì, ma solo di sicurezza e solo finché Apple manterrà attivo il ramo 18. Niente funzioni nuove e nessun passaggio a iOS 26 o 27: l’hardware non è compatibile.
Devo aggiornare se il telefono funziona bene?
Sì. Le falle riguardano l’apertura di file e l’accesso alla fotocamera, due cose che capitano ogni giorno. Il rischio è basso per i più, il costo dell’aggiornamento è di dieci minuti.
L’attacco riguarda tutti gli utenti iPhone?
No, Apple parla di obiettivi specifici. Nella pratica giornalisti, attivisti e persone con accesso a informazioni delicate sono i bersagli tipici di questi attacchi, spesso condotti con spyware commerciale.
L’aggiornamento cancella dati o applicazioni?
No. Dati, foto, app e impostazioni restano dove sono. Serve solo spazio libero per il download e l’installazione.