Uma atualização do iOS nem sempre corrige uma única vulnerabilidade isolada. Lançadas a 9 de novembro de 2026, as versões iOS 27.2.1 e iPadOS 27.2.1 corrigem, nomeadamente, dois problemas que afetam as conversas de grupo no iMessage. A Apple descreve também vulnerabilidades relacionadas com AirPlay, Bluetooth e a biblioteca de compressão Brotli. O âmbito das correções depende, contudo, das versões em causa: as notas detalhadas neste artigo aplicam-se aos dispositivos enumerados pela Apple para estas atualizações.
Duas vulnerabilidades com consequências diferentes no iMessage
A primeira vulnerabilidade, CVE-2026-113961, poderá permitir que um atacante remoto entre numa conversa de grupo do iMessage e receba as mensagens. A Apple atribui o problema a uma validação insuficiente das autorizações e indica que o corrigiu reforçando essa validação.
A segunda, CVE-2026-113960, diz respeito a uma pessoa adicionada a um grupo: esta poderá aceder às mensagens enviadas antes da sua entrada. A Apple afirma ter removido o código vulnerável. Trata-se, portanto, de dois cenários distintos: um relacionado com o acesso a uma conversa, o outro com a visibilidade do respetivo histórico.
Estas descrições expõem um possível impacto, não constituem prova de que estas vulnerabilidades tenham sido exploradas contra alguém. A Apple esclarece que não divulga nem confirma problemas de segurança antes de realizar uma investigação e de disponibilizar correções. As suas notas não referem qualquer exploração destas duas vulnerabilidades do iMessage.
Dispositivos abrangidos pelo iOS 27.2.1
A Apple indica que as correções lançadas no iOS 27.2.1 e no iPadOS 27.2.1 estão disponíveis para o iPhone 11 e modelos posteriores, bem como para várias gerações de iPad: iPad Pro de 12,9 polegadas a partir da quarta geração, iPad Pro de 11 polegadas a partir da segunda, iPad Air a partir da quarta, iPad a partir da nona e iPad mini a partir da sexta.
Esta lista é importante para interpretar o anúncio. As notas de uma atualização não permitem, por si só, concluir que todos os dispositivos Apple mais antigos beneficiam das mesmas correções. A Apple publica documentos distintos para as suas versões de software; por isso, é necessário consultar o documento correspondente ao sistema instalado no dispositivo, em vez de generalizar para toda a gama.
Brotli e Bluetooth: outros mecanismos em causa
A correção para iOS e iPadOS também resolve a CVE-2026-111497 na Brotli, uma biblioteca de compressão. A Apple indica que conteúdo malicioso especialmente concebido poderá provocar corrupção de memória devido a uma escrita para além dos limites previstos. Por outras palavras, o software corre o risco de escrever dados numa zona da memória que não lhe está destinada. A nota confirma a correção desta falha, mas não a associa a um ataque através do iMessage.
Várias outras vulnerabilidades descritas pela Apple afetam as comunicações sem fios ou o emparelhamento. Em determinadas condições, um dispositivo Bluetooth malicioso poderá estabelecer um emparelhamento sem interação do utilizador. Outras vulnerabilidades poderão contornar o limite do número de tentativas de introdução de um código de emparelhamento, a partir do alcance do Bluetooth ou da mesma rede. Outra ainda poderá permitir que um atacante dentro do alcance do Bluetooth corrompa a memória de um processo.
As notas indicam os possíveis impactos e os elementos corrigidos, mas não especificam o que um dispositivo emparelhado poderia fazer a seguir. Seria, portanto, enganador transformar a referência a um emparelhamento não autorizado numa afirmação de que todos os dados do dispositivo ficam acessíveis.
O que muda, na prática, com a atualização
Para quem utiliza um iPhone ou iPad incluído na lista da Apple, o benefício é a correção de várias vulnerabilidades suscetíveis de afetar utilizações correntes: trocar mensagens num grupo ou emparelhar um dispositivo. As mesmas notas incluem também problemas que afetam a App Intents, onde uma aplicação poderia aceder a dados sensíveis, e o AirPlay, nomeadamente tentativas de introdução do código de emparelhamento.
O procedimento recomendado é identificar a versão instalada e verificar, nas definições do dispositivo, se a atualização correspondente está disponível. Se o dispositivo não constar da lista associada ao iOS 27.2.1 ou ao iPadOS 27.2.1, isso não basta para determinar o seu nível de proteção: é necessário consultar as notas da Apple relativas à versão do software instalado. Uma correção de segurança é uma medida útil, mas não substitui outras precauções, como evitar aceitar um emparelhamento inesperado.
Referências
- Conteúdo de segurança do iOS 27.2.1 e iPadOS 27.2.1, Apple
- Apresentação das correções da Apple, Clubic
Utilização de um iPhone. Fotografia ilustrativa.
Crédito: Jeremy Levin — Wikimedia Commons — CC0 1.0.
