iMessage, falla gravissima su iPhone: un estraneo poteva entrare nelle chat di gruppo e leggere i messaggi
Un estraneo avrebbe potuto entrare in una chat di gruppo iMessage senza essere invitato e ricevere i messaggi degli altri partecipanti. È una delle vulnerabilità corrette da Apple con iOS 27.2.1, l’aggiornamento di sicurezza distribuito il 9 novembre 2026. Il problema riguarda i controlli di autorizzazione dell’app Messaggi e, almeno in teoria, poteva esporre conversazioni considerate private.
Apple ha risolto anche una seconda falla: un utente aggiunto regolarmente a un gruppo poteva accedere ai messaggi inviati prima del suo ingresso. Le due vulnerabilità sono state segnalate da ricercatori anonimi. Non ci sono conferme che siano state sfruttate in attacchi reali: i bollettini descrivono i rischi tecnici, non episodi di spionaggio effettivamente documentati.
La falla che permetteva a un estraneo di entrare nei gruppi iMessage
La vulnerabilità più delicata è identificata come CVE-2026-113961. Secondo la documentazione di sicurezza Apple, un aggressore remoto avrebbe potuto unirsi a una conversazione di gruppo iMessage e riceverne i contenuti, pur non essendo un partecipante autorizzato.
Il problema nasceva da un errore nella verifica delle autorizzazioni. In condizioni normali, il sistema deve controllare che un dispositivo o un account abbia il diritto di partecipare alla conversazione prima di consegnargli i messaggi. Se questo controllo non funziona correttamente, la riservatezza del gruppo può essere compromessa.
Apple ha risolto la vulnerabilità attraverso una validazione più rigorosa. Non sono stati pubblicati dettagli sufficienti per stabilire con precisione quali passaggi avrebbe dovuto compiere un aggressore, se gli altri partecipanti avrebbero notato l’intrusione o se tutti i membri del gruppo dovessero utilizzare versioni vulnerabili.
L’assenza di queste informazioni non riduce l’importanza della correzione: un accesso non autorizzato a una chat privata rappresenta un rischio diretto per la riservatezza, soprattutto quando vengono condivisi dati personali, documenti o informazioni di lavoro.
Un secondo bug permetteva di leggere i messaggi precedenti
La seconda vulnerabilità, CVE-2026-113960, riguarda un comportamento diverso. In questo caso non era necessario entrare nel gruppo senza permesso: una persona aggiunta alla conversazione poteva riuscire a visualizzare messaggi inviati prima del suo ingresso.
Normalmente, l’aggiunta di un nuovo partecipante non dovrebbe concedere automaticamente l’accesso a tutta la cronologia precedente della conversazione. Il problema poteva quindi rivelare informazioni che gli altri membri avevano condiviso quando quella persona non faceva ancora parte del gruppo.
Apple ha corretto il difetto rimuovendo il codice vulnerabile. Anche questa falla è stata attribuita a un ricercatore anonimo. I bollettini non indicano quali conversazioni siano state eventualmente interessate e non confermano accessi abusivi realmente avvenuti.
iOS 27.2.1 corregge anche problemi di Bluetooth e AirPlay
L’aggiornamento non si limita a iMessage. Apple ha pubblicato correzioni per diverse vulnerabilità che interessano Bluetooth, AirPlay, App Intents e componenti di sistema. Alcune riguardano la procedura di abbinamento dei dispositivi.
Una falla di CoreUtils, CVE-2026-113965, poteva consentire a un dispositivo Bluetooth malevolo di effettuare l’abbinamento senza un intervento dell’utente. Un’altra, CVE-2026-113964, permetteva potenzialmente a un aggressore nelle vicinanze di aggirare i limiti ai tentativi del codice di abbinamento.
Per AirPlay, Apple ha corretto problemi che avrebbero potuto consentire di superare il limite dei tentativi di inserimento del codice: alcuni scenari richiedevano la vicinanza Bluetooth, mentre uno coinvolgeva un aggressore collegato alla stessa rete.
È stato inoltre risolto un problema di App Intents che poteva permettere a un’app di accedere a dati sensibili dell’utente. Un’altra correzione interessa la libreria di compressione Brotli, nella quale un input preparato appositamente poteva provocare un errore di memoria.
Le vulnerabilità hanno condizioni e conseguenze differenti: non significa che qualsiasi dispositivo Bluetooth nelle vicinanze potesse automaticamente leggere i messaggi dell’iPhone. Sono problemi distinti, risolti nell’ambito dello stesso ciclo di aggiornamenti.
Leggi anche:
Quali iPhone ricevono la correzione di iMessage
iOS 27.2.1 è disponibile per iPhone 11 e modelli successivi. Apple ha inoltre distribuito iOS 26.7.3 per i dispositivi che utilizzano quel ramo del sistema operativo. Entrambi gli aggiornamenti includono le correzioni delle due vulnerabilità di iMessage.
Le patch sono state pubblicate anche per diverse versioni supportate di iPadOS, macOS, watchOS e visionOS. È importante verificare la versione specifica del sistema installato: non tutti gli aggiornamenti destinati ai dispositivi più vecchi includono le stesse correzioni.
Per esempio, i bollettini di iOS 18.7.12 non elencano le due vulnerabilità di iMessage. Questo non basta, da solo, a dimostrare che ogni dispositivo con quella versione sia vulnerabile: significa che Apple non indica tali correzioni nelle relative note di sicurezza.
Come aggiornare l’iPhone e proteggere le conversazioni
Per verificare se la correzione è disponibile, apri Impostazioni → Generali → Aggiornamento software sul tuo iPhone. Attendi il controllo degli aggiornamenti e installa la versione proposta da Apple per il dispositivo.
Se utilizzi un iPad, il percorso è analogo. Su Mac, invece, apri Impostazioni di Sistema → Generali → Aggiornamento software. Se possiedi più dispositivi Apple associati allo stesso account, controlla gli aggiornamenti su ciascuno di essi, perché l’app Messaggi può essere utilizzata anche su Mac e iPad.
Conviene inoltre verificare i partecipanti delle chat di gruppo che contengono informazioni sensibili. Questo controllo non sostituisce l’aggiornamento e non consente di accertare se la vulnerabilità sia stata sfruttata, ma resta una buona abitudine per gestire le conversazioni condivise.
Le chat iMessage sono ancora sicure?
iMessage utilizza la crittografia end-to-end per proteggere le comunicazioni tra i dispositivi dei partecipanti. Le vulnerabilità corrette mostrano però che la sicurezza di una chat non dipende soltanto dalla cifratura: è essenziale anche verificare correttamente chi è autorizzato a ricevere i messaggi.
Un errore nei controlli di accesso può compromettere la riservatezza anche quando il sistema di cifratura non è stato violato. Per questo Apple ha pubblicato le patch e ha documentato separatamente i due problemi.
Al momento non risultano prove pubbliche di conversazioni effettivamente intercettate attraverso queste falle. Il rischio tecnico era comunque sufficientemente importante da richiedere una correzione. Se il tuo iPhone segnala la disponibilità di iOS 27.2.1 o di un aggiornamento di sicurezza equivalente, installarlo è la misura più concreta per ridurre l’esposizione.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Ti è piaciuta questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.