worse_query lascia alle app iOS la lettura dei file di altre app, e non risulta alcuna patch Apple

Un zero-day nell'isolamento dei container iOS

Una vulnerabilità zero-day di iOS chiamata worse_query consente ad app malevole di leggere file appartenenti ad altre app. Il ricercatore di sicurezza forcequitOS ha pubblicato un proof-of-concept funzionante su GitHub l'8 novembre 2026. Il bug è stato descritto come il successore di un exploit precedente, bad_query.

iOS di norma mantiene ogni app in un sandbox isolato. Worse_query sfrutta un'interfaccia di query nel gestore dei container tramite link simbolici all'interno di un container di app group. Questo permette a un'app malevola di leggere, modificare o cancellare database, documenti, cache e file di configurazione di altre app senza jailbreak né exploit del kernel, secondo l'analisi della società di sicurezza Ostorlab.

L'avviso di Binance, la correzione limitata

Binance ha diffuso un avviso su X il 10 novembre 2026. Ha affermato che il problema riguarda iOS a livello di sistema, comprese le versioni 26.7.1, 27.0.1 e 27.2. Ha aggiunto: «Questo è un problema a livello di iOS, non esclusivo di Binance.» L'exchange ha invitato gli utenti a eliminare le app installate da fonti non affidabili e ad aggiornare iOS all'ultima versione ufficiale.

Apple ha rilasciato iOS 27.2.1 e iOS 26.7.3 il 9 novembre 2026. Le sue note di sicurezza non menzionano una correzione per le escape dal sandbox e non assegnano alcun identificativo CVE a worse_query. Ostorlab ha affermato che la lacuna resta aperta senza una patch confermata dal produttore. Poiché non è stato assegnato alcun CVE, al 10 novembre 2026 la falla non figurava nel catalogo delle vulnerabilità sfruttate note della CISA.

Il rischio per i wallet è condizionato

Secondo il responsabile della sicurezza delle informazioni di SlowMist, noto come 23pds, il bug non ruba fondi da solo. Un furto richiederebbe due condizioni insieme: l'utente installa ed esegue un'app malevola da fuori dall'App Store, e il wallet colpito conserva seed phrase, file keystore o cache WebView in chiaro in una cartella accessibile localmente.

Strumenti derivati dall'exploit, diffusi pubblicamente come WQ Files, possono già leggere, modificare e cancellare file di terze parti. Al momento del rapporto non era stato segnalato alcun furto di criptovalute confermato tramite worse_query. SlowMist ha sconsigliato il sideloading di IPA, di mantenere iOS aggiornato, di conservare i dati sensibili solo in forma cifrata e di spostare gli asset su un nuovo wallet creato su un dispositivo pulito se è stata installata un'app non affidabile.

Apple non aveva pubblicato un avviso né una versione corretta per worse_query, ha affermato Ostorlab. L'exploit resta attivo con codice pubblico disponibile.