Apple envia atualizações de emergência em iOS, macOS e visionOS após exploração

A Apple lançou várias atualizações de segurança de emergência na quarta-feira para corrigir uma vulnerabilidade zero-day que já havia sido explorada em ciberataques avançados contra seus dispositivos.

De acordo com as notas compartilhadas pela equipe de suporte da Apple, o patch foi emitido para iOS, iPadOS, macOS Tahoe, tvOS, watchOS e visionOS. A empresa disse que a falha, nomeada CVE-2026-20700, poderia permitir que atacantes executassem código malicioso nos dispositivos afetados se explorada com sucesso.

A análise de ameaças do Google descobriu que a CVE-2026-20700 causa corrupção de memória no dyld, o Dynamic Link Editor da Apple. O grupo de pesquisadores de segurança cibernética alertou que hackers capazes de escrever na memória do dispositivo poderiam usar a falha para executar comandos arbitrários. A equipe de segurança interna da Apple trabalhou com os analistas de segurança durante a investigação.

“A Apple está ciente de um relatório de que este problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos em versões do iOS anteriores ao iOS 26”, disse a empresa em um aviso de segurança.

Falha zero-day já havia executado ataques direcionados, diz relatório do Google

De acordo com o patch da Apple observa, o bug zero-day fazia parte de um conjunto de vulnerabilidades que haviam sido identificadas e tratadas anteriormente. Duas falhas relacionadas, CVE-2025-14174 e CVE-2025-43529, foram corrigidas no final de dezembro.

Na época, o Cryptopolitan reportou que essas vulnerabilidades anteriores estavam afetando o WebKit, o mecanismo que alimenta o navegador Safari da Apple e todos os navegadores de terceiros no iOS e iPadOS. 

A falha CVE-2025-14174 envolvia um problema de acesso à memória fora dos limites no componente Metal renderer do ANGLE. O Metal é o framework de gráficos e computação acelerado por hardware da Apple.

Por outro lado, o CVE-2025-43529 originava-se de uma vulnerabilidade de uso após liberação (use-after-free) no WebKit. Os cibercriminosos poderiam explorar a falha por meio de conteúdo web especialmente elaborado, permitindo a execução de código no dispositivo da vítima.

Um problema crítico envolvia o framework CoreMedia, que processa áudio e vídeo. Os hackers poderiam assumir o controle do CoreMedia de um usuário enviando arquivos maliciosamente elaborados para iPhones-alvo. Ao serem processados, esses arquivos poderiam desencadear condições de negação de serviço ou expor dados privados da memória do telefone.

As vulnerabilidades provavelmente foram implantadas em campanhas de espionagem direcionadas a ativistas, jornalistas ou funcionários do governo, conforme confirmado pela análise do Google.

A Apple lista os dispositivos elegíveis para atualizações

As mais recentes atualizações de segurança da Apple aplicam-se a dispositivos atuais e mais antigos, em várias plataformas. A empresa lançou o iOS 26.3 e o iPadOS 26.3 para iPhone 11 e modelos posteriores, bem como para várias gerações de iPads.

Os computadores Mac que executam o macOS Tahoe receberam atualizações da versão 26.3, enquanto os modelos Apple TV ganharam o tvOS 26.3. Os Apple Watch Series 6 e dispositivos mais recentes receberam o watchOS 26.3.

A Apple também emitiu atualizações do visionOS 26.3 para todos os headsets Vision Pro, enquanto dispositivos mais antigos receberam correções por meio de atualizações como iOS 18.7.5, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 e Safari 26.3.

A Apple afirmou que o problema foi resolvido por meio de uma melhor gestão de memória na mais recente versão do iOS.

Outras vulnerabilidades corrigidas foram aplicadas a áreas centrais do sistema, incluindo Game Center, ImageIO, o kernel do sistema operacional e as funcionalidades Live Caption, Fotos, Spotlight, Atalhos e StoreKit da Apple.

Atualizações do recurso Siri adiadas após testes falhos

As atualizações de segurança ocorrem enquanto a Apple luta para atualizar seu assistente de voz Siri. O fabricante de iPhones planejava lançar os novos recursos da Siri na próxima atualização de software agendada para março.

No entanto, problemas de teste forçaram a Apple a reconsiderar o cronograma, disseram pessoas familiarizadas com o assunto. Alguns recursos agora devem ser adiados para atualizações posteriores.

A Apple inicialmente planejava incluir os recursos aprimorados da Siri no iOS 26.4. Embora o cronograma de lançamento de março da atualização não tenha mudado, algumas funções serão excluídas. Os engenheiros estão agora testando os novos recursos no iOS 26.5, esperado para chegar em maio, enquanto mais atualizações podem ser adiadas ainda mais até o iOS 27 em setembro.

Durante sua primeira apresentação em junho de 2024, a Siri foi mostrada analisando o conteúdo na tela e oferecendo controle de voz mais preciso em aplicativos da Apple e de terceiros. A Apple originalmente planejava entregar esses recursos no início de 2025, mas esse cronograma foi posteriormente adiado para uma data não especificada em 2026.