Falhas críticas no WebKit podem permitir execução de código em iPhones
A Apple lançou o iOS 27.2 e o iPadOS 27.2 em 26 de outubro, incluindo correções para 163 vulnerabilidades. Mais de 30 problemas estavam relacionados ao WebKit, tecnologia responsável por exibir páginas no Safari e também por processar conteúdo da internet dentro de diversos aplicativos.
Parte dessas falhas poderia permitir que um invasor executasse código no aparelho depois que a pessoa acessasse uma página criada para explorar o problema. Nesse tipo de ataque, não é necessário instalar manualmente um aplicativo malicioso: a abertura do conteúdo preparado pode ser suficiente para iniciar a exploração.
Entre as vulnerabilidades corrigidas no WebKit há quatro falhas de uso de memória após sua liberação, categoria que pode levar a comportamentos inesperados e à execução de código. Nesse grupo estão as CVE-2026-112697 e CVE-2026-112623. A atualização também elimina um erro de confusão de tipos, identificado como CVE-2026-112659.
Outros problemas afetavam componentes como o Canvas, as conexões entre JavaScript e o navegador e o modelo de processos do WebKit. A variedade dos pontos atingidos mostra que o risco não se limita ao Safari: aplicativos que usam recursos do sistema para apresentar páginas ou conteúdo web também podem depender desse motor.
O pacote inclui ainda a correção de duas vulnerabilidades de fuga de sandbox. Esse mecanismo restringe o acesso de um aplicativo a outras partes do sistema e ajuda a conter os danos caso um programa seja comprometido. Uma das falhas estava no modelo de processos do WebKit e foi resolvida com a retirada do código vulnerável. A outra afetava a App Store e havia sido comunicada por pesquisadores da Cisco Talos.
O kernel, componente central que administra funções essenciais do sistema operacional, também recebeu cerca de 15 correções. Além disso, quatro vulnerabilidades estavam associadas à privacidade. Uma delas, a CVE-2026-86987, afetava o Apple Intelligence e poderia permitir que um atacante remoto acessasse informações sensíveis do usuário.
Já a CVE-2026-112500 podia revelar o endereço real de pessoas que utilizam o recurso Ocultar Meu E-mail. As outras duas falhas de privacidade permitiam, respectivamente, que um aplicativo identificasse os programas instalados no dispositivo e acionasse a câmera sem autorização.
A Apple não informou que alguma das 163 vulnerabilidades corrigidas no iOS 27.2 tenha sido explorada em ataques. A empresa, porém, publicou no mesmo dia o iOS 18.7.11 para aparelhos mais antigos, incluindo o iPhone XS e o iPhone XR, corrigindo uma falha diferente: a CVE-2026-86950, no CoreGraphics.
Sobre esse problema, a Apple afirmou ter recebido informações de que a vulnerabilidade pode ter sido usada em uma operação altamente sofisticada contra alvos específicos. A falha consiste em uma gravação fora dos limites de memória, que pode ser acionada por um arquivo preparado para esse fim e resultar na execução de código. O problema foi comunicado pela equipe de segurança de produto da Meta.
A mesma vulnerabilidade já havia sido corrigida em setembro para modelos mais recentes, com o iOS 26.7.1. A existência de versões distintas para diferentes gerações de aparelhos reforça a importância de verificar qual atualização está disponível para cada dispositivo, em vez de presumir que todos recebem o mesmo pacote.
O iOS 27.2 é compatível com o iPhone 11 e modelos posteriores. Para quem ainda não migrou para a versão 27, a Apple disponibilizou o iOS 26.7.2. A atualização pode ser instalada em Ajustes > Geral > Atualização de Software. Antes de iniciar o processo, é recomendável conectar o aparelho à rede Wi-Fi, manter a bateria carregada e, se possível, fazer um backup.
Como as falhas do WebKit podem ser exploradas por meio da abertura de uma página, adiar a instalação deixa o aparelho exposto por mais tempo. Até atualizar, vale evitar páginas desconhecidas, anúncios suspeitos e arquivos recebidos de remetentes não confiáveis. Essas precauções não substituem o patch: uma página maliciosa pode ser acessada por diferentes caminhos, inclusive dentro de aplicativos.
Também é prudente manter os aplicativos atualizados e reiniciar o dispositivo depois de instalar uma nova versão do sistema, caso o aparelho não o faça automaticamente. Em iPhones usados para trabalho, a atualização merece atenção especial, pois o dispositivo pode conter e-mails, documentos, credenciais e dados de clientes.
Os avisos da Apple não apresentam uma classificação de gravidade para cada problema. Ainda assim, as vulnerabilidades do WebKit se destacam por não exigirem, em alguns cenários, mais do que a visita a uma página preparada pelo atacante. Por isso, instalar a versão compatível mais recente do iOS ou iPadOS é a medida mais direta para reduzir o risco.