Uma falha no iMessage poderia permitir que um invasor remoto entrasse em uma conversa em grupo e recebesse as mensagens, informou a Apple ontem. A empresa lançou atualizações para corrigir o problema. As atualizações também corrigem outra falha no iMessage, que poderia permitir que uma pessoa adicionada a um grupo acessasse mensagens enviadas antes de sua entrada.
Até o momento, outras atualizações lançadas ontem para o iPhone XS, XS Max e XR, o iPad (7ª geração) e alguns modelos do Apple Watch não listam nenhuma das duas correções.
As notas da empresa também não informam se alguma das falhas foi explorada, quais recursos seriam necessários para um ataque, se os integrantes do grupo perceberiam a entrada de alguém dessa forma ou se todos precisariam atualizar os dispositivos para se proteger.
As atualizações que corrigem as falhas do iMessage também resolvem um problema na biblioteca de compressão Brotli, do Google. As notas não mencionam ataques que tenham explorado essa falha. Em 27 de outubro, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu o problema em seu catálogo Known Exploited Vulnerabilities (KEV), que reúne vulnerabilidades conhecidas como exploradas.
A falha que poderia permitir que um invasor remoto entrasse em uma conversa em grupo é identificada como
CVE-2026-113961
. Trata-se de um problema de autorização, corrigido pelas atualizações com uma validação aprimorada. A falha relacionada ao acesso a mensagens anteriores é a
CVE-2026-113960
.
Quais atualizações incluem as correções
Cada versão do sistema operacional recebeu uma atualização própria. O comunicado de segurança do iOS e iPadOS 27.2.1 descreve as três falhas. A lista de atualizações de segurança contém links para as notas de cada versão.
As notas do iOS 18.7.12 e do watchOS 26.6.1 mencionam outras correções de segurança, mas não incluem as falhas do iMessage nem a do Brotli.
A empresa não informa se os dispositivos com essas versões são afetados pelas três falhas. As notas também não apresentam uma solução temporária para quem não puder atualizar imediatamente.
A falha no Brotli, identificada como CVE-2026-111497, é uma vulnerabilidade de out-of-bounds write no decodificador da biblioteca, que poderia permitir que uma entrada maliciosa corrompesse a memória. O registro da CISA identifica o Brotli, do Google, como o produto afetado e observa que diferentes produtos podem usar esse componente.
Todas as nove atualizações corrigem falhas no Bluetooth e no AirPlay. Duas delas poderiam permitir que um dispositivo Bluetooth malicioso, ou um invasor dentro do alcance do Bluetooth, se conectasse a um aparelho sem interação do usuário. As notas não esclarecem o que seria possível fazer depois da conexão.
Outras duas falhas poderiam permitir que um invasor contornasse o limite de tentativas de inserção do código de emparelhamento: uma a partir do alcance do Bluetooth e outra por meio da mesma rede. Uma quinta falha poderia permitir que um invasor dentro do alcance do Bluetooth corrompesse a memória de um processo.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...