Apple lança 11 atualizações de segurança e corrige falha explorada em iPhones antigos

iPhones antigos recebem correção contra ataques direcionados

A Apple lançou 11 atualizações de segurança em 26 de outubro de 2026, incluindo uma correção para uma falha gráfica explorada que afeta o iPhone XS, o iPhone XS Max, o iPhone XR e o iPad de sétima geração. As atualizações também corrigem centenas de vulnerabilidades em iPhones, iPads, Macs, Apple Watches, Apple TVs, headsets Vision Pro e no Safari mais recentes.

A medida mais urgente para os proprietários desses aparelhos antigos é o iOS 18.7.11 e o iPadOS 18.7.11. Ambos corrigem a CVE-2026-86950, uma vulnerabilidade no CoreGraphics que, segundo a Apple, pode ter sido usada em ataques altamente direcionados contra pessoas que executavam versões anteriores ao iOS 27. O processamento de um arquivo especialmente criado pode permitir que um invasor execute código em um aparelho afetado.

A Apple já havia corrigido essa vulnerabilidade em várias versões mais recentes de seus sistemas operacionais em 28 de setembro. A atualização de outubro estende a proteção a aparelhos antigos por meio de um processo chamado backporting: levar uma correção de segurança a uma versão anterior do software, em vez de exigir a migração para o sistema operacional mais recente.

Outra medida de segurança diz respeito a certificados comprometidos da autoridade certificadora indiana eMudhra. A Apple bloqueou automaticamente os certificados web afetados no Safari, no Mail e em aplicativos que usam seus frameworks de rede e segurança. Algumas ferramentas de linha de comando do Mac ainda exigem atenção porque usam um arquivo diferente para determinar em quais certificados confiar.

O que a Apple lançou e como os números se somam

A lista de atualizações de segurança da Apple registra as 11 atualizações em 26 de outubro. Elas abrangem três gerações de software para iPhone e iPad, três sistemas operacionais para Mac, duas versões do software da Apple TV, além de watchOS, visionOS e Safari.

As contagens de vulnerabilidades divulgadas são:

• iOS 27.2 e iPadOS 27.2: 163.
• iOS 26.7.2 e iPadOS 26.7.2: 134.
• iOS 18.7.11 e iPadOS 18.7.11: três.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: nenhuma entrada CVE publicada.

Esses números totalizam 1.265 registros de vulnerabilidades nas atualizações, correspondentes a pelo menos 329 falhas distintas. Uma vulnerabilidade pode aparecer em várias atualizações porque os produtos da Apple compartilham componentes de software. Considerando apenas o iOS e o macOS 27.2, são 286 vulnerabilidades distintas: 163 mais 263, com cerca de 140 em comum entre eles.

Por que a correção do CoreGraphics é importante

O CoreGraphics realiza tarefas como desenhar textos e exibir imagens. A CVE-2026-86950 é uma falha de gravação fora dos limites, o que significa que o software pode gravar informações além da área de memória reservada para ele. Um invasor pode explorar esse erro para interferir em um programa ou fazê-lo executar instruções escolhidas pelo próprio invasor.

A equipe de segurança de produtos da Meta descobriu a vulnerabilidade. A Apple, responsável pelos sistemas operacionais afetados, descreveu o alerta de exploração em seu comunicado de segurança:

A Apple está ciente de um relato segundo o qual esse problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos e visados em versões do iOS anteriores ao iOS 27.

A Apple também descreveu o impacto técnico e a correção:

O processamento de um arquivo criado com fins maliciosos pode levar à execução arbitrária de código. Um problema de gravação fora dos limites foi corrigido com uma verificação de limites aprimorada.

A verificação de limites consiste em conferir se um programa permanece dentro do espaço de memória atribuído a ele. A vulnerabilidade foi classificada como zero-day porque invasores a usaram antes de haver uma correção disponível. A Apple não informou nenhuma outra exploração conhecida entre as vulnerabilidades cobertas pelas atualizações de outubro.

A correção chegou a diferentes versões do software ao longo de várias semanas:

• 28 de setembro: a Apple lançou correções no iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1.
• 29 de setembro: autoridades dos Estados Unidos incluíram a CVE-2026-86950 no catálogo de vulnerabilidades conhecidamente exploradas.
• 26 de outubro: o iOS 18.7.11 e o iPadOS 18.7.11 levaram a correção aos aparelhos antigos listados pela Apple.

As datas de lançamento de setembro e outubro estão separadas por 28 dias. Para quem tem um iPhone XS, XS Max, XR ou iPad de sétima geração, a medida prática é instalar a atualização oferecida para o aparelho. A Apple não identificou publicamente as pessoas visadas nem explicou como os arquivos maliciosos chegaram até elas.

Três correções protegem aparelhos antigos

O iOS 18.7.11 e o iPadOS 18.7.11 incluem três correções listadas, entre elas a do CoreGraphics. As outras duas tratam da exposição de dados confidenciais e do acesso à câmera sem permissão.

A CVE-2026-65339 afeta o framework Audio e pode expor informações confidenciais dos usuários. A CVE-2026-86990 afeta o CoreMedia e pode permitir que um aplicativo malicioso acesse a câmera sem a permissão do usuário. O CoreMedia faz parte do software usado pela Apple para gerenciar áudio e vídeo.

A Apple lista o iPhone XS, o iPhone XS Max, o iPhone XR e o iPad de sétima geração como compatíveis com essas versões. O número da compilação é 22H384. Esse identificador oferece aos usuários e administradores outra maneira de verificar qual versão do software está instalada.

As três correções mostram por que uma atualização pequena pode exigir atenção rápida. Para esses aparelhos, a atualização combina o conserto de uma falha explorada com mudanças que protegem informações privadas e o acesso à câmera. Uma atualização não precisa incluir centenas de correções para tratar de riscos graves.

iPhones e iPads mais recentes recebem correções mais abrangentes

O aviso de segurança do iOS da Apple descreve correções em componentes do iOS 27.2 e do iPadOS 27.2, incluindo CoreGraphics, CoreMedia, ImageIO e o kernel. O kernel é a parte central de um sistema operacional, responsável por gerenciar o hardware, a memória e o acesso entre programas.

As 163 vulnerabilidades incluem problemas no WebKit, o mecanismo de renderização de páginas da Apple, e em componentes que processam imagens, fontes, documentos PDF, áudio e vídeo. Algumas podem permitir a execução de código quando o aparelho processa conteúdo malicioso. Outras podem permitir que aplicativos obtenham dados confidenciais ou contornem as configurações de privacidade.

As atualizações também corrigem a CVE-2026-86987, uma vulnerabilidade do Apple Intelligence que pode permitir que um invasor remoto acesse informações confidenciais em iPhones e iPads compatíveis. Outras correções tratam de escapes do sandbox do WebContent, um ambiente restrito criado para impedir que o conteúdo da web acesse o restante do sistema.

Outras correções envolvem a falsificação de identidade de um servidor de autenticação Kerberos e o acesso de um invasor próximo a uma rede Thread. O Kerberos ajuda sistemas a verificar identidades, enquanto o Thread conecta aparelhos compatíveis, inclusive dispositivos de casa inteligente.

O iOS 27.2 é compatível com o iPhone 11 e modelos posteriores. O iPadOS 27.2 é compatível com o iPad Pro de 12,9 polegadas de quarta geração, o iPad Pro de 11 polegadas de segunda geração, o iPad Air de quarta geração, o iPad de nona geração e o iPad mini de sexta geração, além dos modelos posteriores dessas linhas. A versão 26.7.2 também abrange alguns iPads mais antigos, incluindo o iPad de oitava geração, o iPad Air de terceira geração e o iPad mini de quinta geração.

Correções para Mac abrangem acesso remoto e controles do sistema

O macOS Golden Gate 27.2 tem a maior contagem individual de vulnerabilidades, com 263. Entre as correções estão mais de uma dúzia de falhas que podem permitir que aplicativos obtenham acesso de root, o nível mais alto de controle sobre um Mac.

A Apple também corrigiu escapes do sandbox, formas de contornar o Gatekeeper e problemas de corrupção de memória em componentes que lidam com sistemas de arquivos e imagens de disco. O Gatekeeper verifica softwares baixados antes de executá-los, ajudando os usuários a evitar aplicativos não confiáveis.

O Compartilhamento de Tela, o Gerenciamento Remoto e o SMB, um protocolo de compartilhamento de arquivos em rede, também receberam correções. Algumas vulnerabilidades podem ser exploradas remotamente ou pela rede local. Uma falha no Gerenciamento Remoto pode permitir que um invasor remoto execute código, o que torna a atualização especialmente relevante para organizações que gerenciam Macs pela rede.

O macOS Tahoe 26.7.2 corrige 213 vulnerabilidades, enquanto o macOS Sequoia 15.8.2 corrige 197. A versão Tahoe inclui a CVE-2026-43736, uma falha na Siri que pode permitir que um aplicativo acesse informações confidenciais do usuário.

O Safari 27.2 está disponível separadamente para o macOS Sequoia e o macOS Tahoe e corrige 33 vulnerabilidades. Sua disponibilidade oferece a quem continua usando esses sistemas operacionais do Mac uma atualização do navegador junto com as correções de sistema pertinentes.

Relógios, televisores e headsets também estão incluídos

As atualizações de outubro da Apple vão além dos telefones e computadores. O watchOS 27.2 corrige 62 vulnerabilidades e é compatível com o Apple Watch Series 9 e modelos posteriores. O visionOS 27.2 corrige 125 vulnerabilidades e está disponível para todos os modelos do Apple Vision Pro.

O tvOS 27.2 corrige 72 vulnerabilidades no Apple TV 4K de segunda geração e modelos posteriores. O Apple TV HD e o Apple TV 4K de primeira geração recebem o tvOS 26.6.1, que, segundo a Apple, não tem entradas CVE publicadas.

Os números CVE são identificadores públicos usados para acompanhar vulnerabilidades de segurança. A lista da Apple separa a compatibilidade de hardware desses identificadores, por isso é importante conferir o modelo exato do aparelho para saber qual atualização se aplica. Em uma casa ou local de trabalho, atualizar apenas o telefone deixa relógios, televisores, headsets e computadores com as versões de software que já tinham.

Por que a Apple bloqueou os certificados da eMudhra

O aviso de segurança sobre a eMudhra, publicado em 23 de outubro, descreve um problema separado envolvendo as chaves privadas de oito autoridades certificadoras intermediárias operadas pela eMudhra. Seis emitiram certificados TLS para sites, e duas emitiram certificados usados para assinar softwares.

Um certificado de site funciona como um documento de identidade. Uma autoridade certificadora o assina para que o software possa verificar se uma conexão pertence ao site esperado. Alguém com a chave privada de uma autoridade intermediária poderia criar certificados que parecem válidos para outros sites.

As chaves da eMudhra foram geradas com aleatoriedade insuficiente, o que permitiu calculá-las a partir de certificados públicos. O pesquisador de segurança Scott Helme afirmou ter recuperado as oito em menos de um segundo. A eMudhra atribuiu a falha a um problema durante um procedimento de geração de chaves em 30 de abril de 2025 e informou que apenas uma das autoridades intermediárias afetadas havia sido implantada em produção e que nenhuma tinha emitido certificados para usuários finais.

Um pesquisador relatou o problema em 17 de outubro. A Apple começou a bloquear 12 certificados TLS afetados em 19 de outubro e, em seguida, também bloqueou o emSign ECC Root CA - G3 em 23 de outubro. Há 12 certificados TLS porque cada uma das seis autoridades TLS afetadas tem duas versões de certificado, que as conectam a diferentes raízes confiáveis. A eMudhra e a Sectigo revogaram os certificados afetados.

O Chrome, o Firefox e o Android também receberam medidas de bloqueio, enquanto projetos de software e fornecedores de sistemas operacionais publicaram alterações para seus próprios repositórios de certificados. Não houve confirmação de exploração maliciosa das chaves da eMudhra. Os bloqueios automáticos da Apple abrangem o Safari, o Mail e aplicativos que usam seus frameworks de rede e segurança, sem exigir que os usuários instalem uma atualização do sistema operacional.

Algumas ferramentas do Mac ainda precisam de uma solução separada

Administradores e desenvolvedores de Mac têm uma questão residual mais específica. Algumas ferramentas fornecidas com o macOS ou com as Ferramentas de Linha de Comando do Xcode, entre elas curl, git, python3, ruby, perl e openssl, verificam os certificados usando o arquivo /etc/ssl/cert.pem. Para cadeias de certificados confiáveis por meio desse arquivo, essas ferramentas não verificam o bloqueio de certificados da Apple nem o status de revogação.

A Apple informa que uma futura atualização de software alterará o arquivo, mas não divulgou uma data de lançamento. Administradores que quiserem agir antes podem seguir as instruções da Apple para fazer uma cópia de segurança e remover os certificados raiz pertinentes.

Remover o emSign ECC Root CA - G3 bloqueia uma das rotas de confiança. O aviso da Apple explica que os certificados cruzados da Sectigo ainda podem ser aceitos por meio do AAA Certificate Services, então os administradores podem optar por remover também essa raiz. A remoção de raízes afeta todas as ferramentas que dependem do arquivo e pode interromper conexões com sites legítimos que usam outros certificados associados a essas raízes.

Uma atualização posterior do macOS pode substituir o arquivo /etc/ssl/cert.pem, então os administradores que adotarem essa medida temporária precisam verificar o arquivo após as atualizações, até que a alteração permanente da Apple seja disponibilizada. Aplicativos com listas próprias de certificados exigem atenção separada de seus desenvolvedores.

A maioria dos proprietários de aparelhos Apple não precisa editar arquivos de certificados. A medida imediata é instalar as atualizações de segurança adequadas, enquanto as organizações também devem verificar os serviços de gerenciamento remoto, as ferramentas de desenvolvimento e os aplicativos que mantêm suas próprias listas de confiança. A Apple atribuiu a ferramentas de IA e equipes de pesquisa a descoberta de várias falhas nas atualizações mais abrangentes, mostrando como os testes de segurança estão encontrando problemas em muitos componentes compartilhados ao mesmo tempo.

Principais pontos

• A Apple lançou 11 atualizações de segurança em 26 de outubro de 2026, abrangendo seus principais sistemas operacionais e o Safari.
• O iOS 18.7.11 e o iPadOS 18.7.11 levam uma correção para uma falha explorada no CoreGraphics ao iPhone XS, XS Max, XR e iPad de sétima geração.
• As atualizações somam 1.265 registros de vulnerabilidades, correspondentes a pelo menos 329 falhas distintas em componentes de software compartilhados.
• As correções para Mac incluem vulnerabilidades de acesso remoto, enquanto outras medidas protegem dados confidenciais e permissões de câmera.
• A Apple bloqueia automaticamente certificados web comprometidos da eMudhra no Safari, no Mail e em aplicativos que usam seus frameworks de segurança.
• Algumas ferramentas de linha de comando do Mac exigem uma futura atualização do arquivo de certificados ou uma solução provisória opcional por parte do administrador.