Apple corrige falha de segurança no iOS que diz ter sido possivelmente explorada

A Apple corrigiu uma vulnerabilidade de segurança que afetava o iOS 26, o iPadOS 26 e o macOS 26 e que, segundo a empresa, “pode ter sido explorada” por hackers. Em uma listagem publicada em suas páginas de segurança, a Apple disse que a falha, já corrigida e registrada como CVE-2026-86950, poderia ser usada para lançar “um ataque extremamente sofisticado contra indivíduos especificamente visados em versões do iOS anteriores ao iOS 27”.

A falha está no motor gráfico principal que alimenta a interface do usuário e os elementos visuais de iPhones, iPads e Macs. A Apple não divulgou detalhes da falha, mas o motor gráfico de um dispositivo costuma ter amplo acesso ao restante do sistema operacional, o que significa que uma exploração bem-sucedida poderia permitir que um hacker roubasse uma ampla gama de dados pessoais de um dispositivo afetado. A equipe de segurança de produtos da Meta foi credenciada pela descoberta. Ao serem contatados, porta-vozes da Apple e da Meta não informaram como a falha foi encontrada nem quantos dispositivos, se houve algum, foram comprometidos, e ainda não está claro quem pode estar explorando a falha — seja fabricantes de spyware ligados a governos ou cibercriminosos.

A vulnerabilidade afeta a geração anterior dos sistemas operacionais da Apple, mas eles continuam amplamente usados: quase quatro em cada cinco donos de iPhone ainda usam o iOS 26, segundo estatísticas da própria Apple. Dispositivos que já rodam as versões mais recentes, iOS 27, iPadOS 27 e macOS 27, lançadas no início deste mês, também receberam uma atualização de software na terça-feira, embora a Apple afirme que eles não são afetados pela falha sob ataque ativo.

A divulgação ocorre pouco depois de a Apple corrigir uma falha separada e mais grave do tipo “zero-click”, registrada como CVE-2026-86869, que poderia ter permitido que hackers roubassem dados silenciosamente de iPhones, iPads ou Macs afetados. A empresa belga de segurança cibernética ironPeak publicou uma análise detalhada na semana passada explicando que a falha podia ser acionada de forma invisível por meio de um iMessage malicioso, sem o conhecimento do usuário. Falhas desse tipo não exigem nenhuma interação da vítima, como clicar em um link, e são muito visadas por fornecedores de vigilância e fabricantes de spyware. A falha também era capaz de burlar o BlastDoor, o recurso de segurança que a Apple criou para impedir que códigos maliciosos — incluindo spyware — escapem do ambiente isolado do iMessage. A Apple corrigiu essa falha em setembro com o lançamento do iOS 27, iPadOS 27 e macOS 27, atribuindo a descoberta ao pesquisador da ironPeak Niels Hofmans, ao lado de pesquisadores de segurança da Meta, que confirmaram as descobertas em uma publicação no X. Ainda não se sabe se a falha zero-click foi usada em ciberataques antes de ser corrigida.

Por que importa

As duas divulgações seguidas mostram como boa parte da base instalada da Apple ainda roda softwares vulneráveis meses depois de uma correção ser lançada, e como o ambiente isolado do iMessage continua sendo um alvo primordial para fornecedores de vigilância e fabricantes de spyware que valorizam falhas que não exigem interação do usuário.