Il conteggio totale non è il punto. In questa tornata Apple, il rischio utile da leggere è concentrato in poche code path ad alto impatto: un flusso di parsing remoto delle immagini, un bug che porta a privilegi kernel e una corruzione kernel raggiungibile da rete su macOS. La lettura standard “Apple ha corretto molto” perde quale parte del set apre davvero un varco realistico.
La revisione Zero Day Initiative mette in cima CVE-2026-43818 in ImageIO, CVE-2026-64747 in AVEVideoEncoder e CVE-2026-64767 in afpfs. Apple distribuisce la correzione su iOS/iPadOS, macOS Tahoe 26.6, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, tvOS, watchOS, visionOS e Safari 26.6; senza punteggi di severità ufficiali, il triage si appoggia sul tipo di impatto e sulla superficie esposta.
Per chi gestisce una flotta Apple, la conseguenza è che non basta leggere la release come manutenzione ordinaria. Dentro lo stesso pacchetto convivono esposizione su contenuti che il sistema apre o analizza da solo, escalation locale fino al kernel e un rischio di memoria kernel raggiungibile da rete che riguarda solo macOS, non l’intero ecosistema.