Uma Falha Que Não Lhe Pede Nada

Nenhuma ligação para clicar, nenhum anexo para abrir, nenhuma permissão para aprovar. A 17 de agosto de 2026, a Apple confirmou que uma falha no ImageIO, o framework que quase todas as aplicações em iOS e macOS usam para descodificar fotografias, podia permitir a um atacante executar código arbitrário no instante em que o dispositivo processava uma imagem mal formada. Ver uma mensagem, carregar uma página web ou até receber um ficheiro em segundo plano bastava para a ativar.

A falha, registada como CVE-2026-65346, é um overflow de inteiro: um cálculo dentro do código de descodificação de imagem que pode ser empurrado para além dos seus limites previstos, corrompendo a memória de uma forma que um atacante consegue controlar. A correção da Apple, segundo as suas próprias notas de segurança, consistiu em validação de entrada melhorada, que fecha a brecha antes que corrompa fosse o que fosse.

Foi distribuída no iOS 26.6.1, iPadOS 26.6.1, macOS Tahoe 26.6.2 e visionOS 26.6.1, juntamente com uma longa lista de outras correções na mesma atualização. Por si só, seria apenas mais uma linha num ciclo de patches de rotina. O que a torna digna de um segundo olhar é quem a encontrou e até onde a Apple decidiu recuar para a corrigir.

Porque Também Os iPhones Antigos Foram Corrigidos

A Apple mantém duas linhas de atualização em simultâneo para dispositivos que ainda suporta mas já não considera atuais: a linha de sistema operativo mais recente para hardware novo, e uma linha legada para modelos que não conseguem correr o sistema mais recente. A maioria das correções de segurança chega apenas aos dispositivos onde a falha era relevante, e as atualizações da linha legada ficam reservadas a falhas que a Apple considera suficientemente graves para justificar o esforço extra de engenharia e testes sobre código antigo.

Nesta falha, a Apple fez as duas coisas. Além do iOS 26.6.1 para o iPhone 11 e posteriores, distribuiu o iOS 18.7.10 e o iPadOS 18.7.10 para o iPhone XS, XS Max, XR e o iPad de sétima geração, hardware vendido pela primeira vez em 2018. Essa decisão é por si só um sinal: a própria avaliação técnica interna da Apple tratou a falha como suficientemente séria para justificar corrigir um ramo de sistema operativo que normalmente atualiza com moderação.

Para uma empresa europeia que ainda tenha um iPhone ou iPad da geração de 2018 no parque, seja como dispositivo de reserva, terminal de atendimento ou simplesmente hardware ainda por substituir, essa dupla correção é a conclusão prática: a correção chegou a dispositivos que a Apple raramente toca, um sinal mais forte do que a pontuação CVSS por si só.

O Pormenor Sobre Quem A Reportou

A falha foi atribuída a Nik Tsytsarkin, da Red Team X da Meta. A Red Team X é a equipa interna de segurança ofensiva da Meta, criada especificamente para caçar a categoria de falha que os fornecedores comerciais de spyware procuram: falhas de corrupção de memória alcançáveis sem qualquer interação do utilizador, o tipo que se transforma numa ferramenta de vigilância de um clique ou de zero cliques se chegar primeiro às mãos erradas. A sua missão de investigação difere de uma simples submissão de bug bounty precisamente porque foi construída em torno desse modelo de ameaça.

O aviso da Apple afirma não haver provas de que o CVE-2026-65346 tenha sido explorado ativamente antes da correção. Trata-se de um pormenor genuinamente tranquilizador, que deve ser tomado como tal, sem lhe atribuir uma história pior. Mas a origem do relatório diz a uma empresa algo que uma simples pontuação de gravidade não diz: esta é exatamente a forma de falha que os fornecedores de spyware procuram primeiro, e aqui foi encontrada e reportada antes de chegar a esse mercado, não depois.

Nada disto muda o que há a fazer, e isso é simples. Qualquer organização que administre iPhones, iPads ou Mac para o seu pessoal deve tratar esta atualização como uma instalação a fazer ainda esta semana, não no próximo ciclo, e verificar especificamente o inventário de dispositivos à procura dos modelos da geração de 2018 que precisaram do patch separado da linha legada, já que são os mais suscetíveis de ainda correr uma versão antiga que um ciclo de renovação de rotina ainda não alcançou.

Leia a seguir: Uma IA Encontrou Nove Falhas No Navegador Do Seu Telemóvel  |  Alemanha obriga a Apple a redesenhar o consentimento