Apple lança 11 atualizações de segurança e alarga correção de falha explorada a iPhones mais antigos

iPhones mais antigos recebem correção contra ataques direcionados

A Apple lançou 11 atualizações de segurança a 26 de outubro de 2026, incluindo uma correção para uma falha gráfica explorada que afeta o iPhone XS, o iPhone XS Max, o iPhone XR e o iPad de sétima geração. As atualizações também corrigem centenas de vulnerabilidades em iPhones, iPads, Macs, Apple Watches, Apple TVs, auscultadores Vision Pro e no Safari mais recentes.

A novidade mais urgente para os proprietários desses dispositivos mais antigos é o iOS 18.7.11 e o iPadOS 18.7.11. Ambos corrigem a CVE-2026-86950, uma vulnerabilidade do CoreGraphics que, segundo a Apple, poderá ter sido utilizada em ataques altamente direcionados contra pessoas que usavam versões anteriores ao iOS 27. O processamento de um ficheiro especialmente criado para o efeito poderia permitir a um atacante executar código num dispositivo afetado.

A Apple já tinha corrigido essa vulnerabilidade em várias versões mais recentes dos sistemas operativos a 28 de setembro. A atualização de outubro alarga a proteção a equipamentos mais antigos através de um processo chamado retroportabilidade: a aplicação de uma correção de segurança a uma versão anterior do software, em vez de exigir uma atualização para o sistema operativo mais recente.

Uma resposta de segurança separada diz respeito a certificados comprometidos da autoridade de certificação indiana eMudhra. A Apple bloqueou automaticamente os certificados web afetados no Safari, no Mail e nas aplicações que utilizam as suas estruturas de rede e segurança. Algumas ferramentas de linha de comandos do Mac ainda requerem atenção, pois utilizam um ficheiro diferente para determinar em que certificados confiar.

O que a Apple lançou e como se somam os números

A lista de atualizações de segurança da Apple indica 26 de outubro como data de lançamento das 11 atualizações. Estas abrangem três gerações de software para iPhone e iPad, três sistemas operativos para Mac, duas versões do software da Apple TV, watchOS, visionOS e Safari.

As contagens de vulnerabilidades publicadas são:

• iOS 27.2 e iPadOS 27.2: 163.
• iOS 26.7.2 e iPadOS 26.7.2: 134.
• iOS 18.7.11 e iPadOS 18.7.11: três.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: sem entradas CVE publicadas.

Estes valores perfazem 1265 registos de vulnerabilidades nas atualizações, correspondentes a pelo menos 329 falhas distintas. Uma vulnerabilidade pode surgir em várias atualizações, porque os produtos Apple partilham componentes de software. Considerando apenas o iOS e o macOS 27.2, são 286 vulnerabilidades distintas: 163 mais 263, com cerca de 140 em comum.

Porque é importante a correção do CoreGraphics

O CoreGraphics trata de tarefas como desenhar texto e apresentar imagens. A CVE-2026-86950 é uma falha de escrita fora dos limites, o que significa que o software pode escrever informação para além da área de memória que lhe foi reservada. Um atacante poderá usar essa falha para interferir com um programa ou levá-lo a executar instruções escolhidas pelo atacante.

A vulnerabilidade foi descoberta pela Meta Product Security. A Apple, responsável pelos sistemas operativos afetados, descreveu o alerta sobre a exploração na sua nota de segurança:

A Apple tem conhecimento de um relato segundo o qual este problema poderá ter sido explorado num ataque extremamente sofisticado contra indivíduos especificamente visados em versões do iOS anteriores ao iOS 27.

A Apple também descreveu o impacto técnico e a correção:

O processamento de um ficheiro malicioso especialmente criado poderá permitir a execução de código arbitrário. Foi corrigido um problema de escrita fora dos limites através do reforço da verificação dos limites.

A verificação dos limites consiste em garantir que um programa se mantém dentro do espaço de memória que lhe foi atribuído. A vulnerabilidade foi classificada como zero-day porque os atacantes a tinham utilizado antes de estar disponível uma correção. A Apple não comunicou qualquer outra exploração conhecida entre as vulnerabilidades abrangidas pelas atualizações de outubro.

A correção chegou a diferentes versões do software ao longo de várias semanas:

• 28 de setembro: a Apple lançou correções no iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1.
• 29 de setembro: as autoridades norte-americanas acrescentaram a CVE-2026-86950 ao catálogo de vulnerabilidades conhecidamente exploradas.
• 26 de outubro: o iOS 18.7.11 e o iPadOS 18.7.11 levaram a correção aos dispositivos mais antigos indicados pela Apple.

Decorreram 28 dias entre as datas de lançamento de setembro e outubro. Para os proprietários de um iPhone XS, XS Max, XR ou iPad de sétima geração, a medida prática é instalar a atualização disponibilizada para esse dispositivo. A Apple não identificou publicamente as pessoas visadas nem explicou como chegaram até elas os ficheiros maliciosos.

Três correções protegem dispositivos mais antigos

O iOS 18.7.11 e o iPadOS 18.7.11 incluem três correções identificadas, entre elas a do CoreGraphics. As outras duas corrigem a exposição de dados sensíveis e o acesso à câmara sem autorização.

A CVE-2026-65339 afeta a estrutura Audio e poderá expor informações sensíveis dos utilizadores. A CVE-2026-86990 afeta o CoreMedia e poderá permitir que uma aplicação maliciosa aceda à câmara sem autorização do utilizador. O CoreMedia faz parte do software que a Apple utiliza para gerir áudio e vídeo.

A Apple indica o iPhone XS, o iPhone XS Max, o iPhone XR e o iPad de sétima geração como elegíveis para estas atualizações. O número da compilação é 22H384. Este identificador dá aos utilizadores e administradores outra forma de verificar qual a versão do software instalada.

As três correções mostram por que razão uma atualização pequena pode exigir atenção imediata. Nestes dispositivos, a atualização combina a correção de uma falha explorada com alterações que protegem informações privadas e o acesso à câmara. Uma atualização não precisa de incluir centenas de correções para resolver riscos graves.

iPhones e iPads mais recentes recebem correções mais abrangentes

O aviso de segurança do iOS da Apple descreve correções em componentes do iOS 27.2 e do iPadOS 27.2, incluindo o CoreGraphics, o CoreMedia, o ImageIO e o kernel. O kernel é a parte central de um sistema operativo, que gere o hardware, a memória e o acesso entre programas.

As 163 vulnerabilidades incluem problemas no WebKit, o motor de apresentação de páginas web da Apple, e em componentes que processam imagens, tipos de letra, documentos PDF, áudio e vídeo. Algumas poderiam permitir a execução de código durante o processamento de conteúdo malicioso pelo dispositivo. Outras poderiam permitir que aplicações obtivessem dados sensíveis ou contornassem definições de privacidade.

As atualizações também corrigem a CVE-2026-86987, uma vulnerabilidade da Apple Intelligence que poderia permitir a um atacante remoto aceder a informações sensíveis em iPhones e iPads compatíveis. Outras correções resolvem fugas do sandbox do WebContent, um ambiente restrito concebido para impedir que o conteúdo web aceda ao resto do sistema.

Há ainda correções para a usurpação da identidade de um servidor de autenticação Kerberos e para o acesso de um atacante nas proximidades a uma rede Thread. O Kerberos ajuda os sistemas a verificar identidades, enquanto o Thread liga dispositivos compatíveis, incluindo equipamentos domésticos inteligentes.

O iOS 27.2 é compatível com o iPhone 11 e modelos posteriores. O iPadOS 27.2 é compatível com o iPad Pro de 12,9 polegadas de quarta geração, o iPad Pro de 11 polegadas de segunda geração, o iPad Air de quarta geração, o iPad de nona geração e o iPad mini de sexta geração, bem como os modelos posteriores dessas linhas. A versão 26.7.2 abrange também alguns iPads anteriores, incluindo o iPad de oitava geração, o iPad Air de terceira geração e o iPad mini de quinta geração.

Correções para Mac abrangem acesso remoto e controlos do sistema

O macOS Golden Gate 27.2 tem a maior contagem individual de vulnerabilidades, com 263. As correções incluem mais de uma dúzia de falhas que poderiam permitir às aplicações obter acesso de root, o nível mais elevado de controlo sobre um Mac.

A Apple também corrigiu fugas do sandbox, formas de contornar o Gatekeeper e problemas de corrupção de memória em componentes que gerem sistemas de ficheiros e imagens de disco. O Gatekeeper verifica o software descarregado antes de este ser executado, ajudando os utilizadores a evitar aplicações não fidedignas.

O Partilha de ecrã, a Gestão remota e o SMB, um protocolo de partilha de ficheiros em rede, também receberam correções. Algumas vulnerabilidades podem ser exploradas remotamente ou através da rede local. Uma falha na Gestão remota poderia permitir a execução remota de código, o que torna esta atualização especialmente relevante para organizações que gerem Macs através de uma rede.

O macOS Tahoe 26.7.2 corrige 213 vulnerabilidades, enquanto o macOS Sequoia 15.8.2 corrige 197. A atualização do Tahoe inclui a CVE-2026-43736, uma falha da Siri que poderia permitir a uma aplicação aceder a informações sensíveis dos utilizadores.

O Safari 27.2 está disponível separadamente para o macOS Sequoia e o macOS Tahoe e corrige 33 vulnerabilidades. A sua disponibilidade permite aos utilizadores que continuam a usar esses sistemas operativos para Mac atualizar o navegador, além de instalarem as correções pertinentes do sistema.

Atualizações abrangem relógios, televisões e auscultadores

As atualizações de outubro da Apple não se limitam a telemóveis e computadores. O watchOS 27.2 corrige 62 vulnerabilidades e é compatível com o Apple Watch Series 9 e modelos posteriores. O visionOS 27.2 corrige 125 vulnerabilidades e está indicado para todos os modelos Apple Vision Pro.

O tvOS 27.2 corrige 72 vulnerabilidades na Apple TV 4K de segunda geração e modelos posteriores. A Apple TV HD e a Apple TV 4K de primeira geração recebem, em alternativa, o tvOS 26.6.1, que a Apple indica não ter entradas CVE publicadas.

Os números CVE são identificadores públicos utilizados para acompanhar vulnerabilidades de segurança. A lista da Apple distingue a compatibilidade do equipamento desses identificadores, pelo que é importante verificar o modelo exato do dispositivo para saber qual a atualização aplicável. Numa casa ou local de trabalho, atualizar apenas um telemóvel deixa os relógios, televisões, auscultadores e computadores com o software que já tinham.

Porque bloqueou a Apple os certificados da eMudhra

O aviso de segurança da Apple sobre a eMudhra, publicado a 23 de outubro, descreve um problema separado, relacionado com as chaves privadas de oito autoridades de certificação intermédias operadas pela eMudhra. Seis emitiram certificados TLS para sites e duas emitiram certificados utilizados para assinar software.

Um certificado de um site funciona como um documento de identificação. Uma autoridade de certificação assina-o para que o software possa verificar se uma ligação corresponde ao site esperado. Quem tiver a chave privada de uma autoridade intermédia poderá criar certificados que parecem válidos para outros sites.

As chaves da eMudhra foram geradas com aleatoriedade insuficiente, o que permitiu calculá-las a partir de certificados públicos. O investigador de segurança Scott Helme afirmou ter recuperado as oito em menos de um segundo. A eMudhra atribuiu a falha a um problema ocorrido durante uma cerimónia de geração de chaves a 30 de abril de 2025 e afirmou que apenas uma das autoridades intermédias afetadas tinha sido implementada em produção e que nenhuma tinha emitido certificados a utilizadores finais.

Um investigador comunicou o problema a 17 de outubro. A Apple começou a bloquear 12 certificados TLS afetados a 19 de outubro e, a 23 de outubro, bloqueou também o emSign ECC Root CA - G3. Existem 12 certificados TLS porque cada uma das seis autoridades TLS afetadas tem duas versões de certificado, que a ligam a diferentes raízes de confiança. A eMudhra e a Sectigo revogaram os certificados afetados.

O Chrome, o Firefox e o Android também receberam medidas de bloqueio, enquanto projetos de software e fornecedores de sistemas operativos introduziram alterações nos seus próprios arquivos de certificados. Não foi confirmada qualquer exploração maliciosa das chaves da eMudhra. Os bloqueios automáticos da Apple abrangem o Safari, o Mail e as aplicações que utilizam as suas estruturas de rede e segurança, sem que os utilizadores tenham de instalar uma atualização do sistema operativo.

Algumas ferramentas para Mac ainda requerem uma resposta separada

Os administradores de Mac e os programadores enfrentam um problema residual mais específico. Algumas ferramentas fornecidas com o macOS ou com as Xcode Command Line Tools, incluindo curl, git, python3, ruby, perl e openssl, verificam os certificados com base no ficheiro /etc/ssl/cert.pem. Para cadeias de confiança validadas através desse ficheiro, estas ferramentas não verificam o bloqueio de certificados da Apple nem o respetivo estado de revogação.

A Apple afirma que uma futura atualização de software irá alterar o ficheiro, mas não indicou uma data de lançamento. Os administradores que pretendam agir mais cedo podem seguir as instruções da Apple para fazer uma cópia de segurança do ficheiro e remover os certificados de raiz pertinentes.

A remoção do emSign ECC Root CA - G3 bloqueia uma das vias de confiança. O aviso da Apple explica que os certificados cruzados da Sectigo ainda podem ser aceites através do AAA Certificate Services, pelo que os administradores podem também remover essa raiz, se assim o entenderem. A remoção de certificados de raiz afeta todas as ferramentas que recorrem ao ficheiro e pode interromper ligações a sites legítimos que utilizem outros certificados subordinados a essas raízes.

Uma atualização posterior do macOS poderá substituir o ficheiro /etc/ssl/cert.pem, pelo que os administradores que recorram à medida temporária terão de verificar o ficheiro após as atualizações, até à chegada da alteração permanente da Apple. As aplicações com listas próprias de certificados requerem uma resposta separada por parte dos respetivos programadores.

A maioria dos proprietários de dispositivos Apple não precisa de editar ficheiros de certificados. A tarefa imediata consiste em instalar as atualizações de segurança adequadas, enquanto as organizações devem também verificar os serviços de gestão remota, as ferramentas de desenvolvimento e as aplicações que mantêm as suas próprias listas de confiança. A Apple atribuiu o mérito pela descoberta de várias falhas nas atualizações mais abrangentes a ferramentas de IA e equipas de investigação, mostrando como os testes de segurança estão a detetar problemas em muitos componentes partilhados ao mesmo tempo.

Principais pontos

• A Apple lançou 11 atualizações de segurança a 26 de outubro de 2026, abrangendo os seus principais sistemas operativos e o Safari.
• O iOS 18.7.11 e o iPadOS 18.7.11 levam uma correção para uma falha explorada do CoreGraphics ao iPhone XS, XS Max, XR e iPad de sétima geração.
• As atualizações incluem 1265 registos de vulnerabilidades, correspondentes a pelo menos 329 falhas distintas em componentes de software partilhados.
• As correções para Mac incluem vulnerabilidades de acesso remoto, enquanto outras protegem dados sensíveis e as permissões da câmara.
• A Apple bloqueia automaticamente certificados web comprometidos da eMudhra no Safari, no Mail e em aplicações que utilizam as suas estruturas de segurança.
• Algumas ferramentas de linha de comandos para Mac requerem uma futura atualização do ficheiro de certificados ou uma solução temporária opcional por parte do administrador.