CVE-2026-86950
Sfruttamento noto · CISA KEV
CVSS 8.8 HIGH: an out-of-bounds write issue was addressed with improved bounds checking.
Data di correzione federale CISA 2 ott
Vulnerabilità · 42 giorni fa
Apple CoreGraphics è finito al centro di un PoC pubblico per CVE-2026-86950, una falla che Apple dice essere già stata usata in attacchi mirati contro individui specifici. Il punto nuovo non è solo la vulnerabilità, ma il fatto che ora esista un trigger pubblico affidabile che rende molto più semplice trasformarla in un exploit pratico.
Il meccanismo passa da un PDF costruito ad arte con un font manipolato: quando il motore di rendering lo elabora in anteprima, CoreGraphics calcola uno spazio troppo piccolo e scrive fuori dal buffer. Per ora il risultato dimostrato è un crash controllato, non l’esecuzione di codice, ma la stessa strada di preview usata per allegati normali diventa un punto d’ingresso credibile per sviluppo d’exploit.
Per chi gestisce iPhone, iPad e Mac, il passaggio conta perché una falla già usata in modo mirato e ora resa riproducibile pubblicamente smette di essere un caso da advisory e diventa un problema di maturità offensiva. Il rischio non è ancora l’RCE dimostrata; è che il lavoro più difficile, cioè arrivare al trigger stabile, sia già stato fatto.
Sfruttamento noto · CISA KEV
CVSS 8.8 HIGH: an out-of-bounds write issue was addressed with improved bounds checking.
Data di correzione federale CISA 2 ott
11 fonti che coprono questa storia
Kwetsbaarheid verholpen in Apple CoreGraphics
Apple heeft een kwetsbaarheid verholpen in CoreGraphics op iOS, iPadOS en macOS.
Apple CoreGraphics PoC Emerges as WhatsApp PDF Checks Hint at Possible Delivery Path
Public PoC for CVE-2026-86950 triggers a controlled out-of-bounds write in CoreGraphics; code execution is not demonstrated.
Apple Patches CoreGraphics Zero Day Exploited in Attacks
Apple has patched CVE-2026-86950, a zero-day bug in the iOS CoreGraphics engine
Escritura fuera de límites en productos de Apple
Meta Product Security ha informado sobre una vulnerabilidad de severidad alta que, en caso de ser expl
Apple Zero-Day Vulnerability Weaponized in Targeted Attacks
Attackers are exploiting CVE-2026-86950, an out-of-bounds write flaw, in an extremely sophisticated fashion, according to Apple.
Apple patches CoreGraphics zero-day already exploited in targeted attacks
Meta-spotted flaw could hand attackers arbitrary code execution via a maliciously crafted file
Still running iOS 26? Update your iPhones, iPads, and Macs for this urgent security fix | TechCrunch
Apple says the bug was used to attack "specific targeted individuals" running iOS 26, which the majority of Apple customers are still using.
Apple ships iOS and macOS security updates to fix an actively exploited zero-day vulnerability (CVE-2026-86950) in Core Graphics framework.
Apple: rilevato sfruttamento in rete della CVE-2026-86950
Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-86950 – già sanata dal vendor - che interessa i prodotti Apple iOS, iPadOS, macOS Tahoe e macOS Sequoia.
Apple Patches Meta-Reported Zero-Day Linked to ‘Extremely Sophisticated Attack’
Apple has released iOS and macOS updates to patch the zero-day vulnerability tracked as CVE-2026-86950.
Apple Emergency Patch for iOS 26, macOS26, macOS15 (CVE-2026-86950)
Apple Emergency Patch for iOS 26, macOS26, macOS15 (CVE-2026-86950), Author: Johannes Ullrich
Apple Patches CoreGraphics Flaw Possibly Exploited in Targeted Attacks
Apple patched CVE-2026-86950, a CoreGraphics flaw that may have been exploited in targeted attacks via maliciously crafted
Part of the PlainSec briefing for 2026-10-02