Apple leva correção de zero-day ao iPhone XS, XR e iPads antigos

A Apple lançou o iOS 18.7.11 e o iPadOS 18.7.11 para estender a aparelhos mantidos na versão 18 a correção da CVE-2026-86950, uma vulnerabilidade do CoreGraphics relacionada a ataques altamente direcionados. O pacote, publicado em 26 de outubro, também fecha falhas que poderiam permitir acesso à câmera sem autorização e vazamento de informações sensíveis.

O boletim da empresa diz que processar um arquivo maliciosamente preparado pode resultar em execução arbitrária de código. A Apple tem conhecimento de um relato de que a falha “pode ter sido explorada” em um ataque extremamente sofisticado contra pessoas específicas que utilizavam versões anteriores ao iOS 27. Essa formulação não confirma exploração contra todos os aparelhos nem descreve uma campanha indiscriminada.

Uma correção que chegou primeiro aos sistemas mais novos

A CVE-2026-86950 é uma escrita fora dos limites no CoreGraphics, componente usado para processar imagens, textos e outros elementos gráficos. Quando um programa grava dados fora da região de memória reservada, o resultado pode variar de uma falha do aplicativo à execução de código controlado pelo invasor. A Apple corrigiu o problema com verificações adicionais de limites.

A primeira rodada de correções saiu em 28 de setembro para iOS e iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. A atualização de outubro leva a proteção à linha 18.7.11. A página geral de lançamentos da Apple destaca iPhone XS, iPhone XS Max, iPhone XR e iPad de 7ª geração. O boletim técnico também cita iPad Air de 4ª geração ou posterior, iPad de 9ª geração ou posterior e iPad mini de 6ª geração ou posterior.

Essa diferença ocorre porque alguns tablets compatíveis com sistemas mais novos também podem permanecer em uma linha anterior de manutenção. O modo mais seguro de identificar a versão adequada é consultar a atualização oferecida pelo próprio aparelho, em Ajustes, Geral e Atualização de Software, sem tentar instalar arquivos de procedência externa.

O que se sabe sobre a exploração

A falha foi atribuída à equipe de segurança de produtos da Meta. A Apple não informou quem foram os alvos, quantos dispositivos foram atingidos, qual arquivo serviu como vetor ou quem conduziu a operação. Portanto, não há base pública para atribuir o ataque a um governo, empresa ou grupo criminoso.

O que está confirmado é que a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos adicionou a CVE-2026-86950 ao catálogo de vulnerabilidades conhecidas como exploradas em 29 de setembro. O banco nacional de vulnerabilidades dos Estados Unidos registra avaliação de severidade alta fornecida pela CISA, com pontuação 8,8, e indica que a interação do usuário é necessária.

Isso torna a atualização importante, mas não significa que qualquer arquivo comum comprometerá automaticamente o aparelho. É necessário que o conteúdo seja construído para explorar a falha e chegue ao dispositivo por algum canal. Como a Apple não descreveu o vetor usado nos ataques relatados, não é possível afirmar publicamente se a exploração dependia de abrir manualmente um arquivo, visualizar uma prévia ou interagir de outra maneira.

A atualização também fecha duas falhas de privacidade

O iOS e o iPadOS 18.7.11 incluem outras duas correções. A CVE-2026-86990, no CoreMedia, poderia permitir que um aplicativo malicioso acessasse a câmera sem permissão. A Apple reforçou as restrições de acesso. Já a CVE-2026-65339, no sistema de áudio, poderia permitir que um aplicativo expusesse informações sensíveis; a empresa corrigiu o erro lógico com verificações adicionais.

A Apple não afirma que essas duas vulnerabilidades tenham sido exploradas. Elas devem ser tratadas como riscos corrigidos, não como prova de que aplicativos já acessaram câmeras ou dados de todos os usuários. A distinção evita transformar a existência de uma falha em evidência de comprometimento.

Para proprietários de aparelhos compatíveis, a consequência prática é direta: instalar a atualização reduz a exposição às três vulnerabilidades documentadas. O backport também mostra a importância de manter correções para dispositivos que já não acompanham a geração principal do sistema, porque falhas descobertas em componentes compartilhados podem alcançar várias versões.