Una vulnerabilità Apple corretta da tempo è tornata al centro dell’attenzione perché risulta sfruttata in attacchi reali. Il punto che interessa alle aziende è semplice: se in ufficio ci sono iPhone, iPad o Mac non aggiornati, anche una falla classificata come “non critica” può diventare il tassello utile per rubare dati di navigazione, cookie e informazioni di dispositivo.
La novità è che il 5 novembre 2026 la CISA, l’agenzia statunitense per la cybersicurezza, ha inserito questa vulnerabilità nel proprio catalogo delle falle note come attivamente sfruttate. In pratica, non è più un rischio teorico: è un problema operativo che riguarda chiunque gestisca dispositivi Apple in azienda.
Che cosa è successo
La vulnerabilità segnalata è CVE-2024-27834, con punteggio CVSS 5.5. Apple l’aveva corretta già a maggio 2024 con aggiornamenti distribuiti per più sistemi operativi: iOS 16.7.8, iPadOS 16.7.8, iOS 17.5, iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5.
Secondo la descrizione tecnica riportata dalla CISA, si tratta di un problema di autenticazione impropria che può consentire a un attaccante, in presenza di determinate capacità di lettura e scrittura arbitrarie, di aggirare il meccanismo di Pointer Authentication. In termini meno tecnici: una protezione progettata per rendere più difficile lo sfruttamento della memoria può essere bypassata e diventare quindi meno efficace all’interno di una catena di attacco più ampia.
La falla non era sconosciuta alla comunità di sicurezza: era stata mostrata come zero-day al contest Pwn2Own di Vancouver, nel marzo 2024. Ma il passaggio davvero rilevante per le aziende arriva ora, con la conferma di sfruttamento attivo e l’inserimento nel catalogo KEV (Known Exploited Vulnerabilities) della CISA.
Perché una falla “media” può diventare pericolosa
Molti responsabili aziendali guardano il punteggio CVSS per decidere le priorità. È utile, ma non basta. Un valore di 5.5 può far pensare a un problema secondario; nella pratica, però, il rischio cresce molto quando una vulnerabilità viene usata dentro una catena di attacco reale.
È proprio questo il caso. La falla Apple non viene descritta come l’unico elemento dell’attacco, ma come uno dei componenti utili per arrivare al risultato finale: l’installazione di malware capace di raccogliere dati dal browser e dal dispositivo.
In altre parole, non bisogna chiedersi soltanto “quanto è grave sulla carta?”, ma soprattutto “viene usata davvero dagli attaccanti?”. Quando la risposta è sì, l’urgenza cambia.
Come avvengono gli attacchi osservati
Le informazioni citate dalla CISA seguono un report di Sekoia, che ha descritto campagne in cui vulnerabilità già corrette in Safari e Google Chrome vengono sfruttate per distribuire malware orientato al furto di dati.
L’attività è stata attribuita con confidenza da moderata ad alta ad APT29, gruppo noto anche come Cozy Bear o Midnight Blizzard, associato al servizio di intelligence estero russo.
Secondo quanto emerso, i percorsi iniziali di compromissione osservati sono tre:
- siti legittimi compromessi;
- siti falsi che imitano portali popolari;
- un attacco alla supply chain che ha preso di mira Plerdy SEO Tracker per servire JavaScript malevolo.
L’obiettivo del codice malevolo è profilare il dispositivo della vittima, attivare la catena di exploit e infine distribuire un payload capace di sottrarre informazioni, in particolare dati del browser come i cookie.
Questo è un dettaglio importante per chi gestisce un’azienda: l’attacco non richiede necessariamente comportamenti vistosamente imprudenti da parte dell’utente. Se un dipendente visita un sito compromesso con un dispositivo non aggiornato, il rischio può materializzarsi anche durante una normale attività di lavoro.
Il ruolo di Safari, WebKit e dei cookie rubati
Nel materiale citato si parla di una catena di sfruttamento che combina una falla di esecuzione di codice remoto in WebKit con il bypass della protezione PAC collegato alla vulnerabilità Apple indicata dalla CISA. Il risultato finale descritto è l’esecuzione di un payload JavaScript pensato per il furto dei cookie del browser.
Per un’azienda, il furto di cookie non è un dettaglio tecnico marginale. I cookie possono rappresentare sessioni di accesso già aperte a servizi cloud, portali amministrativi, piattaforme di produttività, CRM o webmail. Se un attaccante riesce a impossessarsene, in alcuni casi può tentare di impersonare l’utente senza dover conoscere direttamente la password.
Questo spiega perché anche un attacco focalizzato sul browser può avere effetti concreti sul business: accessi indebiti, esfiltrazione di documenti, compromissione di account e possibili incidenti di sicurezza con impatti organizzativi e legali.
Perché la CISA ha aggiornato il catalogo KEV
Quando la CISA inserisce una vulnerabilità nel catalogo KEV, il messaggio al mercato è chiaro: quella falla è già usata da attori ostili e non va trattata come semplice manutenzione rinviabile.
Nel caso specifico, la CISA ha raccomandato alle agenzie del Federal Civilian Executive Branch di applicare le patch entro il 18 novembre 2026. Anche se questa scadenza riguarda enti federali statunitensi, il principio vale per qualsiasi organizzazione privata: i tempi di aggiornamento devono essere più rapidi quando esiste evidenza di sfruttamento attivo.
Per una PMI italiana, questo significa che il patch management dei dispositivi Apple non può essere lasciato alla buona volontà del singolo utente. Serve un controllo centralizzato, o almeno verifiche periodiche reali sullo stato di aggiornamento del parco dispositivi.
Cosa significa per la tua azienda
Se in azienda usate Mac, iPhone o iPad, questa notizia riguarda direttamente la continuità operativa e la protezione dei dati. Le azioni pratiche da fare sono poche, ma vanno eseguite subito.
Primo: verificare le versioni installate. I dispositivi devono essere almeno alle versioni in cui Apple ha corretto la falla: iOS/iPadOS 16.7.8 o 17.5, macOS Sonoma 14.5, Safari 17.5 e gli altri aggiornamenti indicati da Apple. Se alcuni dispositivi sono fermi a versioni precedenti, non sono semplicemente “un po’ indietro”: possono essere esposti a una vulnerabilità oggi sfruttata.
Secondo: controllare Safari e i browser usati in azienda. Spesso si pensa agli aggiornamenti del sistema operativo ma si trascura il browser, che invece è il punto di contatto diretto con siti compromessi, script malevoli e campagne di furto sessioni.
Terzo: ridurre il rischio legato agli account. Dove possibile, attivate l’autenticazione a più fattori e verificate le sessioni aperte sui servizi più critici. Il furto di cookie punta proprio ad aggirare i controlli tradizionali basati solo su username e password.
Quarto: monitorare i dispositivi gestiti e quelli “ibridi”. Nelle PMI capita spesso che parte del lavoro venga svolta da dispositivi aziendali e parte da dispositivi personali usati anche per lavoro. È proprio in queste aree grigie che si accumulano ritardi negli aggiornamenti. Un servizio di desktop IT management aiuta a tenere sotto controllo stato, patch e configurazioni dei client.
Quinto: preparare la risposta a un incidente. Se c’è il sospetto che un browser o un dispositivo sia stato compromesso, bisogna prevedere reset delle sessioni, cambio credenziali, verifica dei log di accesso ai servizi cloud e controllo degli endpoint coinvolti. La prevenzione resta la misura più economica, ma è utile avere anche procedure e supporto specialistico di sicurezza informatica.
Sesto: proteggere i dati critici con backup affidabili. Un malware orientato al furto informazioni non coincide necessariamente con ransomware, ma spesso gli incidenti evolvono. Disporre di copie sicure e separate dei dati resta una misura base di resilienza, ad esempio tramite soluzioni di remote backup.
La lezione più importante: le patch non bastano se arrivano tardi
L’aspetto più istruttivo di questa vicenda è che la vulnerabilità era stata corretta da Apple nel 2024, ma torna di attualità nel 2026 perché gli attaccanti continuano a trovare dispositivi non aggiornati o ambienti dove gli update non sono stati gestiti con sufficiente disciplina.
È uno schema ricorrente: le organizzazioni pensano soprattutto alle nuove vulnerabilità, mentre molti attacchi vanno a colpire falle note e già corrette. Per chi guida un’azienda, la conclusione è concreta: il rischio informatico non dipende solo dalla sofisticazione degli attaccanti, ma anche dalla capacità interna di fare manutenzione in modo regolare.
In questo senso, la differenza tra un semplice avviso tecnico e un incidente reale sta spesso in processi molto ordinari: inventario dei dispositivi, aggiornamenti pianificati, controllo dei browser, gestione degli account e verifiche periodiche.
Domande frequenti
Se uso Mac e iPhone in azienda devo preoccuparmi subito?
Sì, se non avete la certezza che i dispositivi siano aggiornati alle versioni corrette da Apple. La vulnerabilità risulta sfruttata attivamente, quindi la verifica va fatta senza rinvii.
Il problema riguarda solo Safari?
No. La falla segnalata interessa più sistemi Apple, ma negli attacchi descritti il browser ha un ruolo centrale perché rappresenta il punto d’ingresso del codice malevolo e del furto di cookie.
Basta installare gli aggiornamenti per essere protetti?
È il primo passo, ma non l’unico. Conviene anche rivedere sessioni attive, MFA, stato dei browser e procedure di controllo dei dispositivi aziendali.