Wordfence Argus scopre vulnerabilità critica in libheif, la libreria che apre le foto iPhone sui server

Il team Wordfence Argus ha reso nota venerdì 18 settembre 2026 una vulnerabilità critica in libheif, la libreria open source usata da molti server per decodificare immagini in formato HEIC, lo standard con cui gli iPhone salvano le foto. La falla ha un punteggio CVSS di 9.8, ai vertici della scala di gravità. La notizia riguarda chi gestisce hosting e installazioni WordPress che accettano upload di immagini: se il server processa HEIC per generare anteprime o conversioni, libheif è spesso nella catena di elaborazione, anche senza che l'amministratore lo sappia esplicitamente.

Cosa ha dimostrato il laboratorio Wordfence

Secondo quanto riportato nel post ufficiale di Wordfence, il team ha dimostrato due impatti concreti su un deployment WordPress specifico:

• disclosure di file protetti, cioè la possibilità di leggere contenuti del server che dovrebbero restare riservati;
• esecuzione di codice (code execution) sul sistema target.

Wordfence specifica che lo sfruttamento è "target-specific": l'exploit dimostrato funziona su una configurazione precisa e non è un attacco generico pronto all'uso contro qualsiasi server. La ricerca, soprannominata internamente "HEIF Heist", serve però a mostrare che adattare un exploit basato su immagini a sistemi reali è un'operazione praticabile, non solo teorica.

Cosa manca per agire

Il comunicato originale non riporta, nel testo disponibile, il numero CVE assegnato né le versioni esatte di libheif vulnerabili e corrette. Prima di considerare l'informazione operativa per una patch, chi gestisce server dovrebbe:

1. verificare sul post ufficiale di Wordfence (link in fondo) il CVE associato e il changelog di libheif per le versioni interessate;
2. controllare se il proprio stack (pannello di hosting, plugin WordPress per media, strumenti di conversione immagini) include libheif come dipendenza, diretta o transitiva;
3. applicare l'aggiornamento non appena disponibile sul repository ufficiale del progetto.

Fonte: Wordfence, blog ufficiale, 18 settembre 2026 — https://www.wordfence.com/blog/2026/09/wordfence-argus-discovers-critical-vulnerability-in-libheif-the-library-that-opens-iphone-photos-on-your-server/