Apple Risolve una Grave Vulnerabilità Zero-Day Usata in Attacchi Complessi

Recentemente, Apple ha rilasciato un aggiornamento di emergenza per affrontare una vulnerabilità di sicurezza di tipo zero-day. Questa falla, secondo quanto riportato, è stata sfruttata in attacchi sofisticati. Si raccomanda di effettuare l’aggiornamento ai propri dispositivi al fine di garantire la sicurezza.

apple rilascia un aggiornamento di emergenza per la vulnerabilità zero-day

La vulnerabilità, denominata CVE-2025-24200, è legata a un problema di autorizzazione. Gli attaccanti possono sfruttare questa falla per eludere la modalità USB Riservata sui dispositivi bloccati, la quale impedisce agli accessori USB di accedere ai dati se il dispositivo è bloccato per oltre un’ora.

Apple ha introdotto la modalità USB Riservata in iOS 11.4.1 per evitare che strumenti di estrazione dati come GrayKey e Cellebrite possano accedere a iPhone bloccati. Nel novembre 2023, l’azienda ha anche introdotto il riavvio per inattività, che riavvia iPhone inattivi per migliorare la sicurezza.

quali dispositivi sono interessati?

Apple ha corretto la vulnerabilità nelle versioni di iOS 18.3.1, iPadOS 18.3.1 e iPadOS 17.7.5. I dispositivi affetti includono:

• iPhone XS e successivi
• iPad Pro 13 pollici, iPad Pro 12,9 pollici (3ª generazione e successivi), iPad Pro 11 pollici (1ª generazione e successivi)
• iPad Air (3ª generazione e successivi), iPad (7ª generazione e successivi), iPad mini (5ª generazione e successivi)
• iPad Pro 12,9 pollici (2ª generazione), iPad Pro 10,5 pollici, iPad (6ª generazione)

Nonostante gli attacchi siano stati limitati, Apple esorta gli utenti ad installare l’aggiornamento con urgenza.

il ruolo di citizen lab nella scoperta della minaccia

Il ricercatore di sicurezza Bill Marczak di Citizen Lab ha scoperto la falla. Questo laboratorio è noto per aver identificato minacce di spyware. In passato ha segnalato vulnerabilità sfruttate contro giornalisti, politici e attivisti.

Nel settembre 2023, Citizen Lab ha rivelato altre due vulnerabilità zero-day di Apple (CVE-2023-41061 e CVE-2023-41064), facenti parte di una catena di exploit a zero clic che installava lo spyware Pegasus del gruppo NSO su iPhone aggiornati.

la lotta di apple contro gli attacchi zero-day

Apple interviene regolarmente per correggere falle di sicurezza utilizzate in attacchi reali. Nel 2024, l’azienda ha raddoppiato gli sforzi, correggendo sei vulnerabilità zero-day sfruttate:

• Una a gennaio
• Due a marzo
• Una a maggio
• Due a novembre

Nel 2023, Apple ha corretto venti vulnerabilità zero-day, tra cui:

• Novembre: CVE-2023-42916, CVE-2023-42917
• Ottobre: CVE-2023-42824, CVE-2023-5217
• Settembre: CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992, CVE-2023-41993
• Luglio: CVE-2023-37450, CVE-2023-38606
• Giugno: CVE-2023-32434, CVE-2023-32435, CVE-2023-32439
• Magari: CVE-2023-32409, CVE-2023-28204, CVE-2023-32373
• Aprile: CVE-2023-28206, CVE-2023-28205
• Febbraio: CVE-2023-23529 (WebKit zero-day)

Questi aggiornamenti dimostrano il compromesso di Apple nella lotta contro le minacce di sicurezza.

perché è importante aggiornare ora

La vulnerabilità CVE-2025-24200 è stata utilizzata in attacchi reali. Ritardare l’aggiornamento potrebbe esporre gli utenti a minacce in corso. Apple non ha fornito dettagli sugli attaccanti, ma simili attacchi passati hanno coinvolto hacker sponsorizzati dallo stato.

Per garantire la sicurezza, si consiglia di seguire questi passaggi:

1. Aggiornare il dispositivo in Impostazioni > Generale > Aggiornamento Software.
2. Abilitare gli aggiornamenti automatici per ricevere rapidamente le future correzioni di sicurezza.
3. Mantenersi informati seguendo gli avvisi di sicurezza di Apple e le notizie sulla cybersicurezza.

La risposta rapida di Apple con questo aggiornamento di emergenza sottolinea il crescente rischio di cyber attacchi. I criminali informatici continuano a sviluppare nuove strategie per compromettere i dispositivi. L’installazione degli aggiornamenti di sicurezza rimane la strategia più efficace per proteggere i dati personali e la privacy. È fondamentale mantenere i dispositivi sempre aggiornati, indipendentemente dal livello di utilizzo.