home / blog
2026-11-01 · alta
CVE-2026-43715: Use-After-Free WebKit in Safari e iOS
Use-after-free WebKit (CVSS 8,8). Exploit research attiva. Patch: iOS 26.5.2, macOS Tahoe 26.5.2, Safari 26.5.2.
CVE-2026-43715 è una vulnerabilità di use-after-free nel motore di rendering WebKit, utilizzato da Safari, iOS, iPadOS, macOS Tahoe e altri sistemi Apple. La falla consente a contenuti web malevoli di causare memory corruption nel browser, potenzialmente portando a esecuzione di codice arbitrario o furto di dati. Colpisce ecosistemi ampiamente diffusi negli ambienti aziendali.
La vulnerabilità ha ricevuto un CVSS di 8,8 nella fascia high. Apple ha rilasciato patch il 29 giugno 2026 per Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, iOS 26.7, iPadOS 26.7, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6 e watchOS 26.6. Segnale significativo: il 1º novembre 2026 è stata pubblicata su GitHub una ricerca di exploit per jailbreak (Switch 2) che utilizza l'UAF di CSSFontFace in CVE-2026-43715, confermando la sfruttabilità pratica della falla.
Gli amministratori IT e i CISO devono prioritizzare l'aggiornamento di tutti i dispositivi Apple aziendali alle versioni patchate. Per iOS/iPadOS, forzare l'aggiornamento alle versioni 26.5.2 o 26.7. Per macOS, passare a Tahoe 26.5.2. Verificare i log di Safari per richieste anomale a siti compromessi. Implementare protezioni di rete per bloccare carichi di contenuti web sospetti o da domini noti come malvagi.
In sintesi
- Cosa
- Use-after-free in WebKit. Elaborazione di contenuti web malevoli può causare memory corruption su Safari, iOS, iPadOS, macOS Tahoe, tvOS, visionOS, watchOS.
- Gravità
- CVSS 8,8 (high). Impatto sulla riservatezza e integrità dei dati tramite browser compromesso.
- Versioni interessate
- Safari versioni prima di 26.5.2; iOS/iPadOS versioni prima di 26.5.2 e prima di 26.7; macOS Tahoe versioni prima di 26.5.2; tvOS, visionOS, watchOS versioni prima di 26.6.
- Correzione
- Patch rilasciata per Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, iOS 26.7, iPadOS 26.7, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6, watchOS 26.6.
- Stato
- CVE pubblicato il 29 giugno 2026. Ricerca di exploit per jailbreak (Switch 2) segnalata il 1º novembre 2026 su GitHub, confermando la fattibilità dello sfruttamento.
- Azione
- Aggiornare immediatamente Safari, iOS, iPadOS e macOS alle versioni patchate. Verificare il deployment nei dispositivi aziendali. Monitorare per comportamenti sospetti nei browser.
Fonti: NVD, CVE-2026-43715