macOS Tahoe 26.5.2 rilasciato: nessuna nuova feature, ma corrette oltre 30 falle di sicurezza

Apple ha distribuito macOS Tahoe 26.5.2, un aggiornamento che porta in dote le correzioni di sicurezza già testate nella beta di macOS Tahoe 26.6. Il pacchetto risolve oltre 30 vulnerabilità, distribuite tra componenti del kernel e motore di rendering WebKit.

Tra i bug più seri spicca CVE-2026-43722, una falla nel kernel che permette a un'app di leggere stato sensibile riservato al sistema. Sulla stessa componente, CVE-2026-43724 consente, in determinate condizioni, di scrivere direttamente in memoria kernel: la combinazione dei due problemi, in teoria, apre scenari di escalation dei privilegi tutt'altro che teorici. Apple ha risolto entrambi con un sanitizzamento più rigoroso degli input.

Non va meglio sul fronte IOGPUFamily, dove una race condition (CVE-2026-43743) poteva causare la chiusura improvvisa del sistema. Stesso destino per due bug in libxslt (CVE-2026-43706 e CVE-2026-43703), entrambi double free capaci di mandare in crash i processi durante l'elaborazione di contenuti web malevoli.

Apple rilascia macOS Tahoe 26.5.2: le vulnerabilità corrette

Il grosso degli interventi riguarda WebKit, motore alla base di Safari: la lista comprende decine di CVE, in gran parte use-after-free e problemi di gestione della memoria che possono portare a crash del browser o, nei casi più gravi, a corruzione di memoria sfruttabile.

Le voci che meritano più attenzione sono quelle legate all'esfiltrazione dati. CVE-2026-43735 e CVE-2026-43708 descrivono entrambe scenari in cui un sito malevolo può sottrarre dati cross-origin, aggirando le barriere che dovrebbero isolare un dominio dall'altro. CVE-2026-43700 riguarda invece un problema di tracciamento delle origini di sicurezza che può portare alla divulgazione di informazioni riservate dell'utente durante la navigazione.

Un caso a parte è CVE-2026-43721, relativo a WebKit Storage: un sito può sfruttarlo per dirottare silenziosamente il contenuto degli appunti di sistema, senza che l'utente se ne accorga. Apple lo ha corretto migliorando la gestione dello stato dell'applicazione.

L'aggiornamento tocca anche il modulo WebRTC, dove tre vulnerabilità distinte (tra cui CVE-2026-43717 e CVE-2026-43718) potevano portare a crash di Safari durante l'elaborazione di contenuti web costruiti ad arte, in un caso tramite un overflow dello stack. Sul fronte estensioni, CVE-2026-43704 chiude invece una falla che permetteva a un'estensione malevola di mandare in crash il processo del browser sfruttando un problema di tipo use-after-free.

Tra i ricercatori citati nei ringraziamenti compaiono diversi nomi noti nel settore della sicurezza, oltre a team di aziende come STAR Labs, Baidu Security e Positive Technologies. Segnalato anche un contributo della squadra di sicurezza di OpenAI Codex, a conferma di quanto la caccia ai bug in WebKit coinvolga ormai anche realtà esterne al mondo della sicurezza tradizionale.

Il pacchetto interessa esclusivamente i sistemi su macOS Tahoe: come da prassi, Apple non fornisce dettagli tecnici aggiuntivi sulle vulnerabilità fino a quando le correzioni non sono distribuite su larga scala. L'aggiornamento è disponibile da subito tramite Preferenze di Sistema, nella sezione dedicata agli aggiornamenti software.

Vista la quantità di falle legate a WebKit, alcune delle quali sfruttabili per sottrarre dati durante la semplice navigazione, l'installazione di macOS Tahoe 26.5.2 è da considerarsi prioritaria per chi naviga regolarmente da Mac. In parallelo, Apple ha rilasciato anche iOS e iPadOS 26.5.2.