iOS 26.7.1 fecha a brecha que deixava um único arquivo armadilha assumir o seu iPhone

A Apple lançou o iOS 26.7.1 para corrigir uma vulnerabilidade no CoreGraphics, componente do sistema que exibe imagens e abre PDFs, que permitia a um único arquivo adulterado executar o código de um invasor em um iPhone ou iPad. A empresa afirma que a falha pode já ter sido explorada contra pessoas específicas. Se seu celular ainda roda o iOS 26, e não o iOS 27, esta é a atualização que você deve instalar hoje.

O risco está em algo que todo celular faz o tempo todo, sem pedir autorização. Fotos, PDFs, prévias em conversas, anexos de e-mail: tudo passa pelo CoreGraphics antes de aparecer na tela. Uma falha nesse nível significa que a vítima não precisa instalar nada suspeito. Abrir — ou simplesmente exibir — um arquivo preparado para o ataque pode ser suficiente para entregar o controle do aparelho.

A Apple descreve o problema como uma gravação fora dos limites da memória, um erro de programação que permite que os dados ultrapassem o espaço que deveriam ocupar e sobrescrevam o código que o invasor quer substituir. Segundo a empresa, a correção acrescenta verificações de limites mais rigorosas. A Apple afirma estar ciente de um relato segundo o qual o problema pode ter sido explorado em um ataque extremamente sofisticado contra pessoas específicas e selecionadas em versões do iOS anteriores ao iOS 27.

A falha foi comunicada à Apple pela equipe de segurança de produtos da Meta, responsável também pela proteção do WhatsApp, do Instagram e do Facebook Messenger, três aplicativos que lidam todos os dias com um enorme volume de imagens e arquivos. Nenhuma das empresas informou quem foi alvo, quantas pessoas foram atingidas ou quem esteve por trás do ataque, conforme noticiou o TechCrunch.

A Apple já usou a mesma expressão — um ataque extremamente sofisticado contra pessoas específicas e selecionadas — em casos anteriores ligados a spyware comercial, direcionado a jornalistas, ativistas e autoridades, e não a infecções em massa. Para a maioria dos donos de iPhone, o risco concreto é menor. O problema é que, depois que uma correção se torna pública, pesquisadores e criminosos podem estudar o que mudou e tentar reconstruir a exploração da falha. Com isso, celulares sem a atualização se tornam alvos mais fáceis nas semanas seguintes.

A atualização não corrige todas as vulnerabilidades. O comunicado de segurança da Apple lista o iPhone 11 e modelos posteriores, portanto os donos de aparelhos mais antigos, que não podem rodar o iOS 26, não recebem uma correção nesta versão. Até agora, nenhum dos relatos menciona uma atualização para Macs com versões anteriores ao Sequoia. E quem corre risco real de ser alvo precisa de mais do que uma atualização: o Modo de Isolamento da Apple, que desativa muitas prévias de arquivos e tipos de anexos, existe justamente para esse tipo de ataque.

O iOS 27 não é afetado, o que simplifica a decisão. Ele roda nos mesmos celulares que o iOS 26, a partir do iPhone 11, então todos os aparelhos contemplados por esta correção também podem receber a atualização completa. Muitos donos de iPhone esperam algumas semanas antes de instalar uma nova versão importante, para evitar bugs iniciais ou problemas com a bateria; esta correção permite continuar na versão atual sem ficar exposto. Uma falha separada no iMessage, que não exigia nenhum toque, descoberta pela empresa belga ironPeak, já havia sido corrigida no iOS 27 no início deste mês, segundo o TechCrunch.

As correções abrangem mais do que os celulares. A Apple lançou o iOS 26.7.1 e o iPadOS 26.7.1 em 28 de setembro, junto com o macOS Tahoe 26.7.1 e o macOS Sequoia 15.8.1 para Macs. No iPad, a correção chega ao iPad Pro de 12,9 polegadas a partir da terceira geração, ao iPad Pro de 11 polegadas a partir da primeira, ao iPad Air a partir da terceira, ao iPad padrão a partir da oitava e ao iPad mini a partir da quinta geração. A atualização está disponível no mundo todo em Ajustes, depois Geral e Atualização de Software; no Mac, ela pode ser instalada em Ajustes do Sistema.

A falha recebeu o identificador CVE-2026-86950. A Apple não informou se divulgará mais detalhes e raramente publica essas informações enquanto ainda investiga ataques. A única proteção oferecida é a atualização que já está disponível na tela Atualização de Software.

Tags: Apple, meta, cibersegurança, iphone, CoreGraphics, falha de dia zero