Apple ha rilasciato aggiornamenti di sicurezza per risolvere una vulnerabilità zero-day nel motore del suo WebKit, identificata come CVE-2025-24201, che è stata sfruttata attivamente in attacchi mirati.

WebKit è un motore per browser web utilizzato per il rendering delle pagine web. Il progetto WebKit è stato creato da Apple il 25 giugno 2001. Viene rilasciato con licenza BSD 2-Clause. La base mondiale installata ammonta alla quota di circa il 50.3% di tutti i browsers.

“I contenuti web creati in modo dannoso potrebbero essere in grado di uscire dal sandbox dei contenuti web. Un problema di scrittura fuori dai limiti è stato risolto con controlli migliorati per prevenire azioni non autorizzate”. Ha affermato Apple in un suo bollettino di sicurezza.

Apple non ha divulgato dettagli riguardanti la scoperta del difetto, le identità degli aggressori o le vittime prese di mira. Si consiglia vivamente agli utenti di aggiornare immediatamente i propri dispositivi per mitigare i potenziali rischi associati a questa vulnerabilità.

La vulnerabilità riguarda un’ampia gamma di prodotti Apple, tra cui:

• iOS 18.3.2 e iPadOS 18.3.2 : disponibili per iPhone XS e modelli successivi, iPad Pro da 13 pollici, iPad Pro da 12,9 pollici (3a generazione e successive), iPad Pro da 11 pollici (1a generazione e successive), iPad Air (3a generazione e successive), iPad (7a generazione e successive) e iPad mini (5a generazione e successive).
• macOS Sequoia 15.3.2 : applicabile ai Mac che eseguono macOS Sequoia.
• Safari 18.3.1 : disponibile per macOS Ventura e macOS Sonoma.
• visionOS 2.3.2 : per Apple Vision Pro.
• tvOS 18.3.1 : rilasciato specificatamente per Apple TV 4K (3a generazione), anche se questo aggiornamento non ha voci CVE pubblicate.

L’avviso di sicurezza di Apple ha osservato che la vulnerabilità “potrebbe essere stata sfruttata in un attacco estremamente sofisticato contro specifici individui mirati su versioni di iOS precedenti a iOS 17.2”.

L’azienda ha implementato controlli migliorati per prevenire azioni non autorizzate, contrassegnando questa versione come una correzione supplementare in seguito a una precedente mitigazione fornita nell’aggiornamento iOS 17.2.

Questa ultima patch è la terza risposta di Apple alle vulnerabilità zero-day sfruttate attivamente quest’anno, dopo le precedenti patch per CVE-2025-24085 a gennaio e CVE-2025-24200 a febbraio.

L'articolo Apple sotto attacco: grave vulnerabilità zero-day utilizzata dagli Spyware! Aggiorna subito! proviene da il blog della sicurezza informatica.