iOS 18.7.10 e iPadOS 18.7.10, rilasciati il 17 agosto 2026, elencano circa 120 voci CVE in più di 30 componenti, secondo l’articolo di supporto di Apple all’indirizzo support.apple.com/en-us/148287. Il rilascio è disponibile esattamente per quattro dispositivi: iPhone XS, iPhone XS Max, iPhone XR e iPad di 7ª generazione.
Il documento di Apple non contiene da nessuna parte la dicitura “may have been exploited”. Due di questi quattro dispositivi, iPhone XS e iPhone XS Max, compaiono anche nell’elenco separato dei prodotti vintage e obsoleti di Apple, che riguarda l’assistenza hardware e i ricambi, non gli aggiornamenti software.
Dati principali su iOS 18.7.10
| Voce | Cosa mostra il documento di Apple |
|---|---|
| Rilascio | iOS 18.7.10 e iPadOS 18.7.10 |
| Data | 17 agosto 2026 |
| Fonte | https://support.apple.com/en-us/148287 |
| Disponibile per | iPhone XS, iPhone XS Max, iPhone XR, iPad di 7ª generazione |
| Voci CVE | Circa 120 |
| Problema sfruttato attivamente elencato | Nessuno |
| Componente con il maggior numero di voci | WebKit, 40 o più del totale |
Perché due di questi quattro dispositivi sono anche nell’elenco vintage di Apple
La pagina dei prodotti vintage e obsoleti di Apple, aggiornata l’ultima volta il 31 agosto 2026, definisce vintage un prodotto che Apple ha smesso di vendere da più di cinque e da meno di sette anni. iPhone XS e iPhone XS Max compaiono entrambi in tale elenco. Lo stato di prodotto vintage influisce sull’assistenza hardware e sulla disponibilità dei ricambi presso Apple e i suoi fornitori autorizzati; non influisce sulla possibilità che un dispositivo continui a ricevere aggiornamenti di sicurezza software, e iOS 18.7.10 è la prova fornita da Apple di questa distinzione.
Don’t miss the best of The Mac Observer
Set us as a preferred source and our Apple reporting ranks higher in your Google Search results and Discover feed — one tap, no account changes.
Gli attuali telefoni di Apple, iPhone 18 Pro e iPhone Duo, sono ben lontani dallo stato vintage e vengono forniti con iOS 27 anziché iOS 18.7.10.
Cosa coprono le circa 120 voci
Il documento di Apple elenca voci CVE in Accessibility, AirDrop, APFS, App Store, AppleDouble, Audio, AVEVideoEncoder, BackgroundAssets, Books, Contacts, CoreAudio, CoreMedia, CoreUI, CoreVideo, curl, Foundation, FrontBoard, Game Center, Heimdal, ImageIO, IOSkywalkFamily, IOSurfaceAccelerator, Kernel, libarchive, libc, Libnotify, Managed Configuration, Maps, mDNSResponder, MediaRemote, MobileAccessoryUpdater, Model I/O, Pro Res, SceneKit, Siri, Storage, WebKit, WebRTC, Wi-Fi e WorkoutKit. Kernel rappresenta più di 20 di queste voci e WebKit più di 40.
Voci individuali degne di nota, nella formulazione di Apple
| CVE | Componente | Descrizione dell’impatto secondo Apple | Accreditato da Apple |
|---|---|---|---|
| CVE-2026-43723 | MediaRemote | Un’app potrebbe essere in grado di ottenere privilegi di root | Non specificato nel riepilogo di Apple |
| CVE-2026-64747 | AVEVideoEncoder | Un’app potrebbe essere in grado di eseguire codice arbitrario con privilegi del kernel | Franco Belman (Blackwing Intelligence) |
| CVE-2026-43818 | ImageIO | L’elaborazione di un’immagine creata ad arte può portare all’esecuzione di codice arbitrario | Non specificato nel riepilogo di Apple |
| CVE-2026-64740 | Game Center | Un’app dannosa potrebbe essere in grado di uscire dalla propria sandbox | Non specificato nel riepilogo di Apple |
| CVE-2026-64726 | Wi-Fi | Un aggressore in prossimità fisica potrebbe essere in grado di corrompere la memoria di processo | Non specificato nel riepilogo di Apple |
| CVE-2026-64735 | Kernel | Un aggressore remoto potrebbe essere in grado di eludere i filtri di rete | Non specificato nel riepilogo di Apple |
Il documento di Apple elenca inoltre CVE-2026-28973 in libc e CVE-2026-43776 in AppleDouble rispettivamente come problemi di sandbox e di elaborazione dei file, e corregge separatamente due CVE di curl, 2026-3784 e 2026-3783, più uno in libarchive, 2026-4424, entrambi componenti open source di terze parti che Apple distribuisce e aggiorna insieme al proprio codice.
Un insieme di riconoscimenti in un unico punto: Model I/O e SceneKit
Nello stesso documento, una serie di voci di Model I/O e SceneKit, relative all’analisi di modelli 3D e di file, riporta il riconoscimento a un unico ricercatore, stratan (@5tratan), per dieci o più numeri CVE distinti in questa singola release. Il formato usato da Apple per questo riconoscimento è lo stesso stile a riga singola adottato in tutto il documento.
Quello che Apple non ha detto
Apple non ha pubblicato dettagli sullo sfruttamento, codice proof-of-concept o passaggi di riproduzione per nessuna delle circa 120 voci. Non ha spiegato perché iPhone XS, iPhone XS Max, iPhone XR e iPad 7th generation ricevono un aggiornamento combinato anziché quattro aggiornamenti separati, e non ha detto se questi quattro dispositivi continueranno a ricevere aggiornamenti di sicurezza con la stessa cadenza della gamma attuale.
Alla data di sabato 12 settembre 2026, sull’indice di sicurezza di Apple non è comparsa alcuna voce più recente per questi quattro dispositivi e l’elenco dei prodotti vintage e obsoleti, in cui rientrano in parte, è stato aggiornato l’ultima volta il 31 agosto 2026. I materiali per la stampa dell’evento del 9 settembre di Apple non menzionano affatto iOS 18.7.10, iPhone XS o l’elenco vintage.
Discussion