Apple ha rilasciato il 17 agosto 2026 gli aggiornamenti iOS 26.6.1, iPadOS 26.6.1 e macOS Tahoe 26.6.2. Il bollettino di sicurezza ufficiale, citato da MacRumors, elenca 29 CVE. Cult of Mac, invece, distingue 21 fix per iPhone e iPad e 20 per macOS Tahoe, per un totale di 41 voci separate. Macworld riporta "circa 20" vulnerabilità, aggiungendo un'ulteriore sfumatura. Questa divergenza non è contraddittoria: MacRumors si riferisce all'intero documento Apple, mentre le altre testate separano i fix per piattaforma. Facendo i conti, 21 + 20 = 41, un numero superiore ai 29 CVE totali: ciò suggerisce che almeno 12 fix siano condivisi tra iOS/iPadOS e macOS o contati due volte nelle liste separate per sistema operativo. Il rilascio è la terza ondata di patch in tre settimane, un ritmo che Apple collega all'accelerazione con cui l'intelligenza artificiale fa emergere bug nel software. Per chi possiede un iPhone, un iPad o un Mac, l'aggiornamento non porta nuove funzioni: chiude falle che ora sono pubbliche e potenzialmente sfruttabili da aggressori.
Cosa correggono iOS 26.6.1 e macOS Tahoe 26.6.2
Il bollettino Apple cataloga 29 CVE. Di queste, 21 riguardano WebKit, il motore di rendering alla base della navigazione web e di Safari, e 9 sono state attribuite a OpenAI Codex Security, il servizio di analisi del codice basato sull'intelligenza artificiale. Qui emerge un dettaglio numerico: 21 + 9 = 30, uno in più del totale di 29. Ciò implica che almeno una delle voci è classificata sia come WebKit-related sia come attribuita a Codex, oppure che una delle due cifre sia arrotondata. Le restanti 8 CVE (29 – 21) coprono le altre aree.
Nel dettaglio, il bollettino include:
- una vulnerabilità audio che poteva permettere a un'app di esfiltrare informazioni sensibili dell'utente
- una vulnerabilità nel trattamento delle immagini che consentiva l'esecuzione arbitraria di codice
- tre bug del kernel, il nucleo del sistema operativo
- diversi bug WebKit che potevano causare corruzione della memoria o crash di Safari
Su iPhone, Apple ha inoltre corretto un bug della telefonia che permetteva a un aggressore in posizione privilegiata nella rete di bypassare l'autenticazione IPSec e intercettare il traffico.
In sintesi: 21 WebKit + 8 non-WebKit = 29. Il peso del motore web è evidente già a questo livello.
La terza ondata di sicurezza in tre settimane
Questo rilascio segna la terza ondata di sicurezza in tre settimane per Apple nel 2026. MacRumors riporta che l'intelligenza artificiale fa emergere bug più velocemente di quanto il calendario di rilascio standard riesca ad assorbire, e 9to5Mac aggiunge che Apple ha segnalato l'intenzione di distribuire aggiornamenti con maggiore regolarità a fronte del rischio crescente di tentativi di intrusione potenziati dall'AI.
L'accelerazione è misurabile nei numeri. iOS 26.6, uscito il 27 luglio 2026, aveva corretto 75 falle. Il 6 agosto 2026 era uscito macOS Tahoe 26.6.1, dedicato a chiudere una singola vulnerabilità specifica di macOS. Il 17 agosto, undici giorni dopo, arrivano altri 29 CVE. Sommando le cifre riportate dalle fonti per i tre rilasci consecutivi si ottiene: 75 + 1 + 29 = 105 correzioni menzionate in tre settimane. Facendo una media su 21 giorni, equivale a circa 5 correzioni al giorno. È un ritmo che, sebbene non uniforme, mostra come Apple stia trattando la sicurezza come un flusso continuo piuttosto che come eventi isolati.
Quali dispositivi ricevono l'aggiornamento
L'installazione è disponibile per tutti i dispositivi compatibili con iOS 26, iPadOS 26 e macOS Tahoe. Per iPhone e iPad che non possono eseguire iOS 26, Apple ha rilasciato iOS 18.7.10 e iPadOS 18.7.10 con circa 100 correzioni di sicurezza: un pacchetto molto più ampio, che copre falle accumulate sulla rampa di versioni precedenti. Il confronto è netto: 100 ÷ 29 ≈ 3,4, quindi i sistemi legacy ricevono circa 3,4 volte più correzioni rispetto ai sistemi correnti. Questo suggerisce che chi rimane su iOS 18 ha accumulato molte più vulnerabilità irrisolte.
| Aggiornamento | Piattaforma | Falle risolte |
|---|---|---|
| iOS 26.6.1 / iPadOS 26.6.1 | iPhone, iPad | 21 |
| macOS Tahoe 26.6.2 | Mac | 20 |
| iOS 18.7.10 / iPadOS 18.7.10 | Dispositivi senza iOS 26 | circa 100 |
Per i Mac che non supportano macOS Tahoe, Apple non ha distribuito aggiornamenti equivalenti per macOS Sequoia o macOS Sonoma. Questa asimmetria è rilevante: mentre gli iPhone e iPad più vecchi ricevono un pacchetto di circa 100 fix, i Mac non compatibili con Tahoe non hanno un corrispettivo. Sebbene la mancanza di un aggiornamento non provi automaticamente che quei sistemi siano esposti alle stesse falle, rende impossibile applicare le correzioni pubblicate per Tahoe. Chi usa un Mac più vecchio dovrebbe verificare se il modello è ancora supportato o valutare il passaggio a un Mac compatibile, soprattutto perché le vulnerabilità WebKit sono condivise tra piattaforme.
L'aggiornamento si installa da Impostazioni → Generali → Aggiornamento Software, sia su iPhone sia su Mac.
Il vero segnale: quasi tre falle su quattro sono WebKit
Le cifre indicano una concentrazione netta. Considerando le 21 vulnerabilità WebKit sul totale di 29 CVE, il motore web incide per il 72,4% delle falle chiuse in questo ciclo (calcolo: 21 ÷ 29 = 0,724). C'è una ragione concreta: WebKit è il componente condiviso su iOS, iPadOS e macOS, quindi una falla in questo motore rappresenta una porta d'ingresso trasversale. Apple ha incluso queste correzioni già nelle beta di iOS 27, iPadOS 27 e macOS Golden Gate, il che indica che i fix sono stati sviluppati sulla prossima generazione e poi portati indietro.
Il peso di WebKit emerge anche da un dettaglio riportato da Macworld: un singolo aggiornamento WebKit risolve da solo 8 CVE. Se rapportiamo questo dato alle 21 falle WebKit totali, quel singolo fix copre il 38% (8 ÷ 21 = 0,381). Sul totale di 29 CVE, incide per il 27,6% (8 ÷ 29 = 0,276). In pratica, un solo aggiornamento del motore web chiude più di un quarto di tutte le vulnerabilità del rilascio. Questo spiega perché la navigazione web è il vettore d'attacco più probabile: chi usa Safari o app che caricano contenuti web dovrebbe installare l'aggiornamento prima di navigare.
Le fonti non sono del tutto allineate sui totali. MacRumors parla di 29 CVE complessive, Cult of Mac distingue 21 fix per iPhone e iPad e 20 per macOS Tahoe, mentre Macworld indica circa 20 vulnerabilità. La differenza dipende dal perimetro considerato: MacRumors include l'intero bollettino di sicurezza Apple, mentre le altre testate separano i fix per piattaforma o arrotondano. La somma 21+20=41 mostra che i numeri per piattaforma non possono essere semplicemente sommati: alcuni CVE sono condivisi tra i sistemi operativi. Questo è coerente con il fatto che la maggior parte delle falle è in WebKit, un componente comune.
Nessuna delle vulnerabilità risulta sfruttata attivamente in attacchi documentati. Ma ora che il bollettino è pubblico, i dettagli tecnici sono accessibili anche a chi sviluppa exploit. Aggiornare subito, soprattutto prima di usare Safari o altre app basate su WebKit, è la mossa più efficace per ridurre la finestra di esposizione.
