In seguito alla scoperta di due vulnerabilità zero-day estremamente critiche nel motore del browser WebKit, Apple ha pubblicato urgentemente degli aggiornamenti di sicurezza per gli utenti di iPhone e iPad.

Entrambe le vulnerabilità risiedono in WebKit, il motore che alimenta Safari e visualizza i contenuti web nell’ecosistema iOS.

Catalogate come CVE-2025-43529 e CVE-2025-14174, permettono agli attaccanti di attivare codice malevolo attraverso l’inganno della vittima che viene portata a visitare una specifica pagina web.

Per attivare l’exploit, non è necessario che un aggressore abbia un accesso fisico al dispositivo; è sufficiente che venga elaborato un contenuto web creato in modo dannoso, ad esempio un sito web compromesso o una pubblicità dannosa.

L’avviso di Apple riporta quanto segue: “Apple è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici nelle versioni di iOS precedenti a iOS 26″.

Questa formulazione è solitamente riservata alle campagne di spyware mercenarie sponsorizzate dallo Stato, in cui vengono presi di mira obiettivi di alto valore come giornalisti, diplomatici e dissidenti.

Le due falle sfruttano debolezze diverse nel modo in cui il browser gestisce la memoria:

CVE-2025-43529 (Use-After-Free): scoperta dal Google Threat Analysis Group (TAG), questa vulnerabilità comporta un errore “use-after-free”. In parole povere, il programma tenta di utilizzare la memoria dopo che è stata liberata, consentendo agli hacker di manipolarla per eseguire codice arbitrario. Apple ha risolto questo problema migliorando la gestione della memoria (WebKit Bugzilla: 302502).

CVE-2025-14174 (Corruzione della memoria): attribuito sia ad Apple che a Google TAG, questo problema consente la corruzione della memoria, una condizione che può causare il crash di un sistema o aprire una backdoor per gli aggressori. È stato corretto con una convalida dell’input migliorata (WebKit Bugzilla: 303614).

L'articolo Apple aggiorna due bug 0day critici in iOS, presumibilmente abusati dagli spyware proviene da Red Hot Cyber.