Falha no iMessage poderia expor conversas em grupo a invasores
Atualizações recentes da Apple corrigem vulnerabilidades que, em determinadas condições, poderiam comprometer a privacidade de conversas no iMessage. Uma das falhas permitiria a entrada não autorizada de um invasor em um grupo; outra poderia revelar mensagens enviadas antes de um novo participante ser adicionado. O pacote também inclui ajustes para problemas ligados ao Bluetooth, ao AirPlay e à biblioteca de compressão Brotli.
A Apple não informou se as falhas do iMessage foram usadas em ataques reais. Também não detalhou quais requisitos seriam necessários para explorá-las nem se os demais integrantes perceberiam a presença de alguém que não deveria estar na conversa.
A vulnerabilidade identificada como CVE-2026-113961 está relacionada à autorização de acesso aos grupos. Um atacante remoto poderia, em certas circunstâncias, ingressar em uma conversa sem permissão e começar a receber as mensagens trocadas pelos participantes. A Apple afirma que corrigiu o problema com melhorias nos mecanismos usados para validar o acesso às conversas.
Já a falha CVE-2026-113960 envolve o histórico de mensagens. Em determinadas situações, uma pessoa adicionada a um grupo poderia visualizar conteúdos enviados antes de sua entrada. Isso poderia expor informações compartilhadas quando ela ainda não fazia parte da conversa.
A documentação publicada pela empresa não esclarece se todos os participantes precisam instalar a atualização para que o grupo fique totalmente protegido. Também não foram divulgadas medidas alternativas para quem não consegue atualizar o aparelho de imediato. Por isso, a instalação das versões de segurança disponíveis é a principal providência recomendada aos usuários.
Correções variam conforme o sistema e o aparelho
As atualizações foram distribuídas separadamente para diferentes sistemas operacionais da Apple. O boletim do iOS e iPadOS 27.2.1 registra as duas falhas do iMessage e uma vulnerabilidade adicional relacionada à Brotli. No entanto, as notas de outras versões liberadas no mesmo período não mencionam essas três correções.
Entre as atualizações citadas estão o iOS 18.7.12 e o watchOS 26.6.1, destinados a determinados dispositivos, como iPhone XS, XS Max e XR, iPad de sétima geração e alguns modelos de Apple Watch. A falta de referência a uma falha em um boletim específico não confirma, por si só, que o aparelho esteja vulnerável ou protegido. A situação depende do modelo e da versão instalada, e a Apple não esclareceu se os dispositivos que usam esses sistemas são afetados.
Por esse motivo, vale conferir o modelo do aparelho e buscar a atualização indicada para ele nas configurações do sistema. No iPhone ou iPad, a verificação pode ser feita na área de atualização de software. No Apple Watch, é importante confirmar também a compatibilidade com a versão disponível para o relógio.
Falha na Brotli e riscos para outros programas
O pacote inclui ainda uma correção para a CVE-2026-111497, identificada no decodificador da biblioteca Brotli, usada para compressão de dados. O problema consiste em uma gravação fora dos limites da memória, uma condição que pode causar corrupção de memória durante o processamento de informações maliciosas.
A falha recebeu atenção adicional depois que, em 27 de outubro, foi incluída no catálogo de vulnerabilidades conhecidas por exploração ativa mantido pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos. Essa inclusão indica que há evidências de exploração da vulnerabilidade, mas não comprova que ataques tenham ocorrido especificamente contra produtos Apple. A empresa não relatou exploração da falha em seus dispositivos.
Como a Brotli é incorporada a diferentes softwares, o problema não se limita necessariamente a equipamentos da Apple. Outros programas que utilizem versões vulneráveis da biblioteca também podem exigir atualização. Manter aplicativos e sistemas em dia ajuda a reduzir esse tipo de risco.
Bluetooth e AirPlay também receberam ajustes
As nove atualizações divulgadas pela Apple incluem correções para Bluetooth e AirPlay. Duas falhas poderiam permitir que um dispositivo Bluetooth malicioso, ou um invasor dentro do alcance da conexão sem fio, pareasse com o aparelho sem qualquer ação do usuário. Em condições normais, a confirmação durante o pareamento serve para impedir conexões não autorizadas; as vulnerabilidades poderiam contornar essa etapa.
A Apple não detalhou o que um dispositivo conectado dessa forma conseguiria fazer. Ainda assim, o risco reforça a importância de aceitar solicitações de pareamento apenas quando forem esperadas e de desconectar dispositivos desconhecidos. Em locais públicos, também é prudente evitar confirmar pedidos de conexão cuja origem não esteja clara.
Para reduzir a exposição enquanto a atualização não é instalada, usuários podem limitar conexões sem fio desnecessárias e manter o Bluetooth desligado quando não estiver em uso. Essas medidas não substituem a correção do sistema, mas podem diminuir oportunidades de tentativa de conexão.
No caso do iMessage, a atualização é especialmente importante para quem compartilha dados pessoais, informações de trabalho ou conteúdo reservado em grupos. Até que a versão corrigida esteja instalada, é sensato evitar enviar informações altamente sensíveis em conversas cuja composição ou histórico não esteja claro. A Apple não informou se existe uma forma de identificar tentativas de exploração, portanto não é possível depender apenas da observação do grupo para detectar o problema.
Em conjunto, as correções mostram que uma atualização de segurança pode proteger diferentes componentes do mesmo aparelho: mensagens, conexões sem fio e bibliotecas utilizadas por aplicativos. Instalar a versão compatível com cada dispositivo e manter os programas atualizados são medidas essenciais para reduzir o risco de acesso indevido e exposição de dados.