CVE-2026-113897: Sandbox escape su macOS, iOS e visionOS

Critical CVSS 10,0: Web Content sandbox escape. Patch in macOS 27.2, iOS 27.2, visionOS 27.2.

Il CVE-2026-113897 è una falla di Web Content sandbox escape che colpisce Safari, iOS, iPadOS, macOS Golden Gate e visionOS. Un attaccante remoto può costruire una pagina web artigianale per scappare dalla sandbox del browser e accedere a privilegi superiori. Apple ha indicato la correzione nella rimozione del codice vulnerabile. La falla ha un punteggio CVSS di 10,0, il massimo della scala, classificandosi come critical.

La falla è stata riconosciuta e resa pubblica il 2026-10-26. La patch è disponibile da immediatamente per tutte le piattaforme interessate. I segnali su social media sono limitati (1 post nelle ultime 24 ore, 4 interazioni totali), ma il contenuto discusso è coerente: conferma il CVSS 10,0 e elenca le stesse versioni patched. Non è segnalato exploit pubblico su repository GitHub, il che rappresenta un vantaggio temporale per i difensori. Tuttavia, la semplicità della falla di sandbox escape e l'alta visibilità suggeriscono cautela sul ciclo di patch.

Azione immediata: inventariare tutte le installazioni di Safari, iOS, iPadOS e visionOS nei vostri ambienti. Pianificare il rollout dei seguenti aggiornamenti il più presto possibile: Safari 27.2, iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, visionOS 27.2. In ambienti con vincoli di patch ciclo, prioritizzare i device e i sistemi con accesso a dati sensibili o funzioni critiche. Non scaricare o testare exploit da fonti non ufficiali: il rischio di trovarsi esposti prima della patch non vale il guadagno informativo.

In sintesi

Cosa: Web Content sandbox escape: attaccante remoto può scappare dalla sandbox di contenuto web tramite una pagina web artigianale. La falla è stata corretta rimuovendo il codice vulnerabile.
Gravità: Critical - CVSS 10,0 (massimo). Impatto diretto: esecuzione di codice con privilegi oltre la sandbox Web Content.
Versioni interessate: Interessate: Safari precedenti a 27.2, iOS e iPadOS precedenti a 27.2, macOS Golden Gate precedente a 27.2, visionOS precedente a 27.2. Secondo segnali non verificati anche Tahoe 26.7.2 e Sequoia 15.8.2.
Correzione: Aggiornamento a Safari 27.2, iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, visionOS 27.2 o successive. Non è riportata correzione per versioni meno recenti.
Stato: Falla riconosciuta da Apple il 2026-10-26, patch disponibile. Discussione pubblica su canali sociali con attività bassa (1 post in 24 ore, coerente con dati NVD).
Azione: 1) Verifica versione Safari, iOS/iPadOS e visionOS nei vostri ambienti. 2) Pianifica aggiornamento a versioni patched il prima possibile. 3) Monitora esecuzione in ambiente non produttivo prima del rollout. Non sono segnalati exploit pubblici.

Fonti: NVD, CVE-2026-113897

← Tutti gli articoli