CVE-2026-20687: use-after-free in Apple OS

CVE-2026-20687 è una vulnerabilità di use-after-free riportata ufficialmente a NVD il 25 marzo 2026. La falla consente a un'app di causare una terminazione inattesa del sistema e, più criticamente, di scrivere direttamente in memoria kernel. Il CVE colpisce iOS, iPadOS, macOS Sequoia, macOS Tahoe, tvOS e watchOS. Apple ha distribuito patch il 25 marzo 2026.

Il punteggio CVSS 7,1 (fascia high) riflette il rischio concreto: un'app locale può provocare denial-of-service e, più grave, modificare memoria kernel, potenzialmente escalare privilegi o accedere a dati protetti. Non è stata segnalata diffusione in the wild secondo i dati NVD. Tuttavia, segnali di ricerca attiva (GitHub, 30 ottobre 2026) indicano interesse per lo sfruttamento via accesso kernel, specificamente collegato a driver Apple. È una riemerzione della vulnerabilità dovuta a ricerca tecnica, non a rilascio di exploit pubblici.

Gli amministratori di infrastrutture Apple devono prioritizzare l'inventario di dispositivi iOS, iPadOS, macOS, tvOS e watchOS gestiti in azienda, identificare quelli ancora sulle versioni precedenti alle patch (iOS 18.7.7, macOS Sequoia 15.7.5, etc.) e pianificare upgrade a queste versioni o successive entro tempi brevi. Sebbene la patch sia disponibile da mesi, l'attività di ricerca odierna giustifica revisione dello stato di patch. Per ambienti dove l'aggiornamento non è immediato, è consigliabile limitare l'installazione di app da fonti esterne o non verificate fino a patch.