Altre app del Mac potevano vedere le vostre schede condivise di Safari
Fino a fine luglio qualsiasi applicazione sul vostro Mac poteva osservare in tempo reale i gruppi di schede condivisi di Safari: senza richiesta di permesso, senza avviso di sistema, senza traccia nelle impostazioni sulla privacy. Apple ha chiuso la falla il 27 luglio in Safari 26.6 e macOS Tahoe 26.6, e Positive Technologies l'ha descritta pubblicamente il 17 agosto. Una storia piccola con una lezione utile, e vale due minuti della vostra sera per verificare che la correzione sia già installata.
Che cos'è un gruppo di schede condiviso
Un gruppo di schede è un insieme di schede con un nome, e Safari permette di condividerlo con altre persone. Tutti vedono lo stesso elenco, che si aggiorna in diretta: aprite una pagina in quel gruppo e pochi secondi dopo compare sullo schermo dell'altra persona. La funzione è davvero comoda per organizzare un viaggio, confrontare prezzi in due o passare in rassegna link con un collega, ed è proprio per questo che il contenuto di quei gruppi è spesso personale.
A uscire era proprio quella sincronizzazione dal vivo. La vulnerabilità, identificata come CVE-2026-43792 con punteggio 6,5, stava nel meccanismo di autorizzazione di Safari: un'applicazione installata sullo stesso Mac poteva iscriversi ai cambiamenti dei gruppi di schede condivisi e guardarli arrivare, senza che il sistema vi chiedesse nemmeno una volta se quell'app potesse toccare i dati di Safari.
Che cosa poteva vedere un'altra app e che cosa no
Il perimetro conta ed è più stretto di quanto suoni il titolo. A uscire era il flusso dei cambiamenti nei gruppi di schede condivisi, cioè gli indirizzi che compaiono nei gruppi condivisi con qualcuno. La cronologia completa, le password salvate, i dati dei moduli e le finestre private non ne facevano parte. Apple descrive l'impatto con la formula di sempre: un'app poteva accedere a dati sensibili dell'utente, risolto con una migliore gestione dello stato.
La parte interessante è la domanda che non è stata fatta. Su macOS siete abituati ad aspettarvi una finestra di dialogo: un'app vuole i vostri file, la fotocamera, lo schermo, i contatti. Quella richiesta è tutta la promessa del modello dei permessi. Qui non c'era, perché il controllo che avrebbe dovuto generarla non veniva eseguito. Un programma installato per tutt'altro poteva starsene lì a leggere che cosa aprivate voi e l'altra persona.
La seconda falla: gli identificatori legati all'account Apple
Lo stesso ricercatore, indicato da Apple come Ilya Andr (andrd3v) e citato nella voce su Game Center come persona di Positive Technologies, ha segnalato un secondo problema nello stesso ciclo di luglio. Identificata come CVE-2026-43796 con punteggio 5,5, permetteva a un'app di ottenere identificatori associati al vostro account Apple. Detta così sembra astratta, ma è la materia prima del tracciamento fra applicazioni: due programmi di sviluppatori diversi possono confrontare i dati e concludere di avere davanti la stessa persona, che è esattamente ciò che le regole di Apple sul tracciamento dovrebbero impedire. Quella è stata chiusa in un colpo solo su tutta la gamma, compresi iOS e iPadOS 26.6, macOS Sequoia 15.7.8 e macOS Sonoma 14.8.8.
Controllate in due minuti
- Aprite il menu Apple, Impostazioni di Sistema, Generali, Aggiornamento Software. Su Tahoe serve la 26.6 o successiva, va bene anche la 26.6.1. Se l'aggiornamento è lì che aspetta, è un buon motivo per installarlo adesso e non nel fine settimana.
- Se siete rimasti su Sonoma o Sequoia, la correzione arriva a parte come Safari 26.6. Aprite Safari, il menu Safari, poi "Informazioni su Safari" e confrontate il numero. Se è più basso, l'aggiornamento sta nella stessa schermata di sistema.
- Su iPhone e iPad: Impostazioni, Generali, Aggiornamento Software; la versione 26.6 o successiva copre la questione degli identificatori dell'account.
- Già che siete in Safari, aprite la barra laterale e guardate i gruppi di schede. Quelli condivisi hanno un'icona con i partecipanti. Cliccatela e leggete l'elenco delle persone: i gruppi condivisi di solito sopravvivono al viaggio o al progetto per cui erano nati.
- Togliete chi non c'entra più, oppure smettete del tutto di condividere il gruppo. Tutto ciò che aprite in un gruppo condiviso lo vedono tutti i partecipanti: è la funzione che lavora come previsto, ed è la parte che si dimentica.
Che cosa non significa. Nessuno leggeva le vostre schede della banca: le finestre private e la navigazione normale non rientravano. Non ci sono prove pubbliche che la falla sia stata usata contro qualcuno prima della correzione. E né una VPN né la navigazione privata avrebbero cambiato qualcosa, perché i dati venivano presi localmente, sul Mac stesso, non dalla vostra connessione.
Perché una falla piccola merita comunque la vostra sera
Lo stesso aggiornamento di macOS ha chiuso 153 vulnerabilità in una volta. La maggior parte non vi toccherà mai, alcune spiegano esattamente perché un aggiornamento non dovrebbe restare fermo per un mese. Un controllo di autorizzazione mancante non è un dramma di per sé, ma è proprio la fessura che distingue un sistema che chiede prima che un'app tocchi i vostri dati da uno che si limita a sembrarlo.
La versione pratica è breve: tenete il computer su una versione supportata, installate gli aggiornamenti di sicurezza quando escono e non quando fa comodo, e ogni tanto guardate chi è ancora dentro alle cose che avete condiviso.
