Il 25 agosto 2025, Apple ha rilasciato un aggiornamento di sicurezza urgente per mitigare una vulnerabilità critica zero-click (CVE-2025-43300) all'interno del framework Image I/O. La falla permetteva l'elaborazione di file immagine manipolati che potevano innescare scritture di memoria fuori dai limiti ed esecuzione arbitraria di codice senza necessità di interazione da parte dell'utente. Questo tipo di exploit, spesso classificato come zero-click, è particolarmente pericoloso per i detentori di criptovalute, in quanto può essere utilizzato per compromettere le applicazioni wallet e accedere alle chiavi private memorizzate sul dispositivo.
Il comunicato di Apple ha evidenziato che esistono prove dello sfruttamento della vulnerabilità in attacchi sofisticati reali contro obiettivi di alto valore. Le piattaforme interessate includono iOS 18.6.2, iPadOS 18.6.2 e 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 e Ventura 13.7.8. L'azienda ha migliorato i controlli dei limiti nella libreria Image I/O per correggere le carenze nella gestione della memoria che permettevano scritture fuori ambito.
Gli esperti di sicurezza avvertono che la natura zero-click dell'exploit elimina i trigger tipici guidati dall'utente, come aprire un documento o cliccare un link. Invece, gli attori maligni possono incorporare payload nei metadati delle immagini distribuiti tramite piattaforme di messaggistica come iMessage. Alla ricezione, le routine automatiche di rendering delle immagini del dispositivo elaborano i dati dannosi, portando alla compromissione del dispositivo e al possibile furto di informazioni sensibili, incluse le credenziali del wallet di criptovalute, le frasi di recupero e i token di autenticazione degli exchange.
Juliano Rizzo, fondatore della società di sicurezza informatica Coinspect, ha sottolineato il rischio elevato per gli utenti di asset digitali. Ha consigliato agli obiettivi di alto valore di ruotare immediatamente le chiavi private e migrare i fondi su hardware wallet. Per gli utenti generali, Apple ha raccomandato l'installazione tempestiva degli aggiornamenti di sicurezza e la verifica delle versioni software installate, avvertendo che ritardare la patch potrebbe lasciare i dispositivi esposti a ulteriori attacchi.
Il fornitore di analisi blockchain CertiK ha evidenziato che vulnerabilità zero-click simili sono state sfruttate in precedenti campagne da attori minacciosi nazionali. Il nuovo difetto di Apple sottolinea la necessità di una ricerca continua sulle vulnerabilità e di pratiche proattive di divulgazione. È la sesta zero-day affrontata da Apple nel 2025, un ritmo record che riflette le crescenti capacità avversarie nel mondo reale.
Si invita le organizzazioni che gestiscono operazioni su larga scala di criptovalute a condurre audit approfonditi dei dispositivi, applicare politiche rigide di aggiornamento e considerare soluzioni di difesa mobile contro le minacce in grado di rilevare comportamenti anomali indicativi di exploit zero-click. Si consiglia inoltre agli sviluppatori software nell’ecosistema crypto di isolare i processi wallet e minimizzare le superfici di attacco separando le operazioni di firma critiche dal codice applicativo di uso generale.
Con il rilascio della patch ora attivo, Apple ha riaffermato il proprio impegno nella rapida mitigazione delle vulnerabilità e nella collaborazione con la comunità di ricerca sulla sicurezza. Gli utenti sono indirizzati ai canali di supporto Apple per istruzioni sull’aggiornamento e ulteriori indicazioni per proteggere dispositivi e asset digitali nell’evolversi del panorama delle minacce.
Commenti (0)