home / blog
2026-11-04 · critica
CVE-2026-112690: Fuga dalla Sandbox WebContent Apple
Fuga dalla sandbox WebContent di Apple (CVSS 10,0). Patch disponibili per iOS, macOS, iPadOS, visionOS.
CVE-2026-112690 è una vulnerabilità critical che consente a un attaccante remoto di evadere dalla sandbox WebContent nei sistemi operativi Apple (iOS, iPadOS, macOS, visionOS). La sandbox è il meccanismo di isolamento che protegge il resto del sistema da codice web potenzialmente ostile. Un aggressore remoto potrebbe superare questo controllo e accedere a risorse riservate. La vulnerabilità è stata scoperta e segnalata a Apple, che ha confermato il problema e rilasciato patch.
La gravità è massima: CVSS 10,0, categoria critical. Apple ha confermato il fix il 26 ottobre 2026, disponibile nelle versioni iOS 26.7.2 e 27.2, iPadOS 26.7.2 e 27.2, macOS Golden Gate 27.2, macOS Sequoia 15.8.2, macOS Tahoe 26.7.2, visionOS 27.2. Segnali di discussione su social media (post del 2026-11-04) confermano la gravità e i numeri di versione. Nessun exploit pubblico è segnalato nei database pubblici, ma la visibilità online indica che il problema è ormai noto.
Amministratori e CISO devono prioritizzare l'aggiornamento immediato di tutti i dispositivi Apple nell'inventario alle versioni corrette. Verificare la lista dei device non ancora aggiornati e pianificare un rollout rapido. Per device che non possono essere aggiornati immediatamente, implementare controlli di rete che limitino l'accesso a WebContent da fonti non fidate. Monitorare attentamente il comportamento dei browser e gli alert di sandbox fino a completamento degli aggiornamenti.
In sintesi
- Cosa
- CVE-2026-112690 è una vulnerabilità che consente a un attaccante remoto di evadere dalla sandbox WebContent nei sistemi operativi Apple, compromettendo l'isolamento di sicurezza dei processi web.
- Gravità
- Critical. CVSS 10,0 (massimo). Potenziale di impatto massimo su confidenzialità, integrità e disponibilità dei dati.
- Versioni interessate
- Vulnerabili le versioni precedenti ai fix. Fissate in: iOS 26.7.2 e 27.2, iPadOS 26.7.2 e 27.2, macOS Golden Gate 27.2, macOS Sequoia 15.8.2, macOS Tahoe 26.7.2, visionOS 27.2.
- Correzione
- Apple ha rilasciato patch con validazione input migliorata. Disponibili in iOS 26.7.2, iPadOS 26.7.2, iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, macOS Sequoia 15.8.2, macOS Tahoe 26.7.2, visionOS 27.2.
- Stato
- Patch ufficiale disponibile da NVD dal 26 ottobre 2026. Nessun exploit pubblico confermato nei database pubblici. Segnali di discussione su social media (2026-11-04) confermano gravità e versioni.
- Azione
- Aggiornare tutti i dispositivi Apple interessati alle versioni corrette non appena disponibili. Verificare inventario device vulnerabili. Priorità massima per endpoint user-facing.
Fonti: NVD, CVE-2026-112690