Apple aggiorna iOS 18 per bloccare attacchi web senza clic dell'utente

Apple ha rilasciato iOS 18.7.7, un aggiornamento di sicurezza d'emergenza pensato per contrastare una minaccia concreta chiamata DarkSword: un toolkit offensivo — cioè un insieme di strumenti pronti all'uso per sferrare attacchi — capace di compromettere iPhone e iPad senza che l'utente faccia nulla di sbagliato. In molti casi basta visitare un sito web legittimo ma compromesso — quello che in gergo si chiama watering hole, come un abbeveratoio avvelenato in cui chiunque si fermi rischia — perché il codice malevolo si insinui nella navigazione e tenti di accedere a dati sensibili. Niente app sospette da installare, niente autorizzazioni da concedere.

Una patch che va controcorrente

La mossa più significativa non è solo l'urgenza dell'aggiornamento, ma il modo in cui Apple ha scelto di distribuirlo. Di norma, l'azienda spinge gli utenti a migrare verso la versione più recente del sistema operativo — oggi iOS 26 — e considera le versioni precedenti progressivamente fuori dal perimetro della massima protezione. Questa volta ha fatto un'eccezione: ha portato le correzioni di sicurezza anche su iOS 18, una versione precedente, proprio mentre continua a raccomandare iOS 26 come standard di riferimento. È un segnale che vale più di qualsiasi comunicato ufficiale: significa che la quota di utenti rimasta su iOS 18 è ancora troppo grande per potersi permettere una strategia del tipo "aggiorna o arrangiati".

Per capire la posta in gioco è utile ripercorrere la storia di DarkSword. Il toolkit era già stato osservato in attacchi mirati, con una distribuzione geografica che ha coinvolto soprattutto paesi fuori dagli Stati Uniti: Arabia Saudita, Turchia, Malesia e Ucraina. A prima vista, questo tipo di targeting fa pensare a operazioni sofisticate — spionaggio, sorveglianza, furto di asset digitali — rivolte a bersagli specifici e di alto valore. Il problema è che quando un toolkit diventa riusabile e liberamente disponibile, il confine tra attacco mirato e attacco opportunistico si assottiglia rapidamente. La pubblicazione del codice su GitHub ha abbassato la soglia d'ingresso: non serve più la capacità tecnica di costruire una catena di exploit da zero, basta sapere usare uno strumento già pronto.

Un attacco web scalabile rende pericolosa anche una finestra di pochi giorni senza aggiornamento

Apple ha abilitato la disponibilità dell'aggiornamento su più dispositivi a partire dal 1 aprile 2026, con l'obiettivo esplicito di far arrivare le protezioni anche a chi ha gli aggiornamenti automatici attivi. Se una patch viene spinta con questa determinazione, vuol dire che il vettore d'attacco — navigazione su siti compromessi — è considerato abbastanza scalabile da rendere rischiosa anche una finestra di esposizione di pochi giorni.

Cosa corregge questo aggiornamento

Apple descrive DarkSword come un insieme di attacchi web che sfruttano vulnerabilità nel modo in cui il sistema gestisce le pagine internet. Nella documentazione ufficiale sull'aggiornamento compaiono correzioni legate alla gestione di contenuti web malevoli, inclusi casi in cui la CSP — uno dei meccanismi che limitano ciò che una pagina web può eseguire sul dispositivo — potrebbe non essere applicata correttamente. Tradotto in termini concreti: se il browser e i componenti che interpretano le pagine web vengono aggirati, un sito compromesso smette di essere una semplice pagina e diventa un punto d'accesso al dispositivo.

Perché tanti utenti sono ancora su iOS 18

Per l'utente comune la domanda non è "quale bug è stato corretto", ma "quanto devo sbrigarmi". La risposta dipende anche da un dato di contesto: la migrazione verso iOS 26, rilasciato nel settembre 2025, è stata più lenta del solito. A gennaio 2026, alcune stime globali collocavano iOS 26 intorno al 15–16% degli iPhone attivi — una cifra che ha fatto discutere, anche perché si basa su metodologie imperfette come il traffico web e gli user agent, cioè le stringhe identificative che i browser inviano ai siti. Anche considerando questi limiti, il segnale è chiaro: una parte significativa degli utenti è rimasta su iOS 18 molto più a lungo di quanto Apple probabilmente si aspettasse.

Apple ha fornito una propria lettura dell'adozione, basata su un criterio diverso: i dispositivi che hanno effettuato transazioni sull'App Store in una data precisa, il 12 febbraio 2026. Non è un dettaglio neutro, perché i numeri cambiano molto a seconda di cosa si misura — traffico web globale o acquisti sull'App Store, tutti gli iPhone esistenti o solo quelli degli ultimi quattro anni. Il risultato è che l'ecosistema non si muove più come un blocco compatto, e proprio questa frammentazione rende sensata una patch "all'indietro": se una quota consistente di utenti resta su iOS 18, un attacco web scalabile smette di essere un problema di nicchia.

C'è poi un fattore più semplice: non tutti possono aggiornare a iOS 26. I dispositivi più datati non sono compatibili con le versioni più recenti del sistema operativo, quindi per chi li usa iOS 18.7.7 non è una scelta tra due strade, ma spesso l'unica disponibile. Ma la notizia riguarda anche chi potrebbe aggiornare e non lo fa — per prudenza, abitudine o insofferenza verso cambiamenti percepiti come invasivi. In sicurezza informatica, il comportamento degli utenti fa parte della superficie d'attacco tanto quanto le vulnerabilità tecniche.

DarkSword riporta il browser al centro del rischio, anche per chi non installa nulla di sospetto

La modalità bunker per chi è più a rischio

DarkSword mette in luce anche un cambiamento di scenario più ampio: il browser è tornato a essere il punto d'ingresso privilegiato per gli attacchi. L'idea che basti non installare app sospette per stare al sicuro perde efficacia quando il vettore è la semplice navigazione quotidiana. Per chi si trova in contesti di rischio elevato — giornalisti, attivisti, figure esposte, personale operativo in aree geopoliticamente sensibili — Apple indica da anni una funzione dedicata: la Lockdown Mode, pensata per una minoranza di utenti ad alto rischio.

Attivare questa modalità ha un costo reale in termini di usabilità. Disabilita tecnologie avanzate come la compilazione just-in-time (JIT) di JavaScript — un meccanismo che velocizza l'esecuzione del codice nelle pagine web ma amplia anche la superficie d'attacco — limita anteprime e allegati nei messaggi, blocca molti inviti e richieste in entrata, e può rendere inaccessibili siti e servizi moderni. È un compromesso esplicito: meno comodità, meno superficie esposta. Apple ha dichiarato pubblicamente di non essere a conoscenza di attacchi spyware mercenari andati a buon fine su dispositivi con Lockdown Mode attiva — un'affermazione che non sostituisce gli aggiornamenti, ma aiuta a leggere la strategia complessiva.

Cosa fare adesso

Per chi usa ancora iOS 18, la risposta non è il panico ma la priorità. Se iOS 18.7.7 è disponibile, va installato: è il modo più rapido per chiudere una vulnerabilità che, con un toolkit già circolante, tende ad allargarsi piuttosto che restringersi. L'aggiornamento si trova seguendo il percorso Impostazioni > Generali > Aggiornamento Software, e vale la pena attivare gli aggiornamenti automatici se non lo sono già — proprio perché questo caso ha mostrato che Apple può decidere di spingere una patch di emergenza su base allargata quando la minaccia lo richiede.

Chi invece ha un dispositivo compatibile con iOS 26 ha una ragione in più per migrare: gli aggiornamenti maggiori non portano solo correzioni puntuali, ma anche cambiamenti strutturali che nel tempo rendono il sistema più robusto. La vera novità di iOS 18.7.7, però, è nel messaggio implicito che porta con sé: in un ecosistema frammentato, la sicurezza deve inseguire anche chi rimane indietro. Gli attaccanti, quando hanno un kit replicabile e distribuito, non aspettano che la curva di adozione faccia il suo corso.