iOS 26.7.1 fecha a falha que permitia a um ficheiro armadilhado controlar o iPhone

A Apple lançou o iOS 26.7.1 para corrigir uma vulnerabilidade no CoreGraphics, o componente do sistema que processa imagens e abre PDFs, que permitia a um único ficheiro manipulado executar código de um atacante num iPhone ou iPad. A empresa afirma que a falha poderá já ter sido usada contra pessoas específicas. Se o seu telemóvel ainda tiver o iOS 26, em vez do iOS 27, esta é a atualização que deve instalar hoje.

O risco está numa função que todos os telemóveis executam constantemente, sem que o utilizador tenha de fazer nada. Fotografias, PDFs, pré-visualizações numa conversa, anexos de e-mail: tudo passa pelo CoreGraphics antes de aparecer no ecrã. Uma falha a este nível significa que a vítima não tem de instalar nada suspeito. Basta abrir, ou até simplesmente visualizar, um ficheiro malicioso para entregar o controlo do dispositivo.

A Apple descreve o erro como uma escrita fora dos limites, uma falha de programação que permite que os dados ultrapassem a memória que deviam ocupar e substituam código que o atacante quer alterar. A correção, nas palavras da Apple, acrescenta uma verificação melhorada dos limites. A empresa afirma ter conhecimento de uma informação segundo a qual o problema poderá ter sido explorado num ataque extremamente sofisticado contra pessoas especificamente visadas, em versões do iOS anteriores ao iOS 27.

A falha foi comunicada à Apple pela equipa de segurança de produto da Meta, que também protege o WhatsApp, o Instagram e o Facebook Messenger, três aplicações que processam diariamente enormes volumes de imagens e ficheiros. Nenhuma das empresas revelou quem foi visado, quantas pessoas foram afetadas ou quem esteve por detrás do ataque, segundo noticiou a TechCrunch.

A Apple já usou a mesma expressão — um ataque extremamente sofisticado contra pessoas especificamente visadas — em casos anteriores associados a spyware comercial dirigido a jornalistas, ativistas e responsáveis políticos, e não a infeções em massa. Para a maioria dos proprietários de iPhone, o risco concreto é menor. O problema é que, assim que uma correção é divulgada, investigadores e criminosos podem estudar as alterações e tentar recriar a exploração da falha, tornando os telemóveis sem atualização alvos mais fáceis nas semanas seguintes.

Há lacunas que esta atualização não resolve. O aviso de segurança da Apple abrange o iPhone 11 e modelos posteriores, pelo que os proprietários de modelos mais antigos, incapazes de executar o iOS 26, não recebem qualquer correção com esta versão. Nenhum dos relatos até agora refere uma correção para Macs com versões anteriores ao Sequoia. E quem enfrenta um risco real de ser visado precisa de mais do que uma atualização: o Lockdown Mode da Apple, que desativa muitas pré-visualizações de ficheiros e tipos de anexos, existe precisamente para este tipo de ataque.

O iOS 27 não é afetado, o que torna a escolha mais simples. É compatível com os mesmos telemóveis que o iOS 26, desde o iPhone 11, pelo que todos os dispositivos abrangidos por esta correção também podem receber a atualização completa. Muitos proprietários adiam durante algumas semanas a instalação de uma versão principal para evitar problemas iniciais ou queixas sobre a bateria; esta correção permite-lhes manter a versão atual sem continuarem expostos. Uma falha distinta no iMessage, que não exigia qualquer toque no ecrã e foi descoberta pela empresa belga ironPeak, já tinha sido corrigida no iOS 27 no início deste mês, segundo a TechCrunch.

As correções abrangem mais do que os telemóveis. A Apple lançou o iOS 26.7.1 e o iPadOS 26.7.1 a 28 de setembro, juntamente com o macOS Tahoe 26.7.1 e o macOS Sequoia 15.8.1 para Mac. No iPad, a correção abrange o iPad Pro de 12,9 polegadas a partir da terceira geração, o iPad Pro de 11 polegadas a partir da primeira, o iPad Air a partir da terceira, o iPad standard a partir da oitava e o iPad mini a partir da quinta. A atualização está disponível em todo o mundo através de Definições, Geral e Atualização de software; no Mac, pode ser instalada através das Definições do Sistema.

A falha tem o identificador CVE-2026-86950. A Apple não revelou se serão divulgados mais detalhes e raramente o faz quando ainda está a investigar ataques. A única defesa que disponibiliza é a que já está no ecrã da Atualização de software.

Etiquetas: cibersegurança, Apple, meta, iphone, CoreGraphics, iOS 26.7.1