A Apple recomenda que todos os usuários de iPhones, iPads e Macs instalem o patch iOS 26.6.1 o quanto antes. (crédito: divulgação/Apple / Postimages)
A vulnerabilidade, catalogada como CVE-2026-65346, podia permitir execução arbitrária de código apenas com o processamento de uma imagem malformada, sem qualquer ação da vítima além de receber o arquivo de imagem no aparelho.
Esse tipo de falha — conhecida no setor de segurança como vulnerabilidade "zero-click", por não depender de cliques, interações ou downloads da vítima — já esteve associada, no histórico da própria Apple, a campanhas sofisticadas de spyware de espionagem governamental direcionadas a alvos específicos. Não há nenhuma confirmação pública de que a falha tenha sido explorada dessa forma; a Apple não divulga esse tipo de informação antes de concluir sua própria investigação de rede.
A falha foi descoberta e reportada à Apple por Nik Tsytsarkin, integrante do Red Team X, a equipe interna da Meta dedicada a encontrar vulnerabilidades em produtos de concorrentes antes que agentes maliciosos as explorem. Essa busca ativa por falhas em interfaces concorre com os novos desenvolvimentos que discutimos em nosso artigo sobre como os novos óculos de realidade aumentada com câmera da Meta impactam nossa privacidade.
Como a falha funciona, na prática
O framework ImageIO é responsável por renderizar mídias e decodificar fotos em todos os aplicativos do iPhone. (crédito: Unsplash / CC0)
Segundo a página oficial de conteúdo de segurança da Apple, a CVE-2026-65346 é um problema de "integer overflow" — um tipo de erro em que um cálculo interno do programa gera um valor maior do que o espaço de memória física reservado para armazená-lo. Quando isso acontece de forma controlada por um invasor, o excedente pode ser usado para sobrescrever áreas de memória do chip que não deveriam ser alteradas, abrindo caminho para a execução de código malicioso no dispositivo.
O ImageIO, o componente afetado, é o framework que a Apple usa para decodificar formatos de imagem em praticamente todo o sistema — não apenas em um aplicativo específico. Isso significa que a vulnerabilidade podia, em teoria, ser acionada em qualquer lugar onde uma imagem é processada automaticamente, como aplicativos de mensagens (iMessage, WhatsApp), e-mails ou navegadores, e não apenas em uma galeria de fotos aberta manualmente pelo usuário. Entender esses recursos ocultos de programação nos remete ao nosso guia sobre as 5 funções secretas de privacidade que os usuários de celular deveriam ativar.
Segundo a Apple, a correção foi feita com validação de entrada aprimorada, encerrando a possibilidade de o cálculo interno ultrapassar os limites de memória física esperados.
O pacote de correções foi além do ImageIO
A atualização, distribuída como iOS 26.6.1, iPadOS 26.6.1, macOS Tahoe 26.6.2, além de versões voltadas a aparelhos mais antigos (iOS 18.7.10 e iPadOS 18.7.10), corrigiu ao todo 29 vulnerabilidades apenas na versão mais recente do iOS, segundo a documentação oficial da Apple.
Entre os outros problemas corrigidos, dois chamam atenção:
• CVE-2026-65329 (Telefonia): Uma falha que permitia a um atacante posicionado de forma privilegiada na rede contornar a autenticação do protocolo IPSec e interceptar tráfego — descoberta por pesquisadores da Universidade Ruhr de Bochum, na Alemanha.
• CVE-2026-65339 (Áudio): Também reportada por Nik Tsytsarkin, do Red Team X da Meta, que envolvia uma falha de lógica no componente de Áudio capaz de permitir que um aplicativo vazasse informações sensíveis do usuário.
A maior parte das demais correções está concentrada no WebKit, o motor usado pelo Safari, com diversas falhas capazes de causar desde travamentos até corrupção de memória ao processar conteúdo malicioso de páginas web.
Por que isso importa
Invasões do tipo zero-click são extremamente perigosas porque burlam as proteções de aplicativos de mensagens. (crédito: Unsplash / CC0)
Falhas do tipo "zero-click" em frameworks de processamento de imagem estão entre as mais valorizadas — e mais perigosas — do mercado de exploração de vulnerabilidades, justamente por não exigirem nenhuma interação da vítima além de receber um arquivo de foto. Casos anteriores desse tipo de falha em componentes de imagem da própria Apple já foram associados, em investigações públicas, a fornecedores comerciais de spywares de espionagem invisível usados para vigiar ativistas, executivos e autoridades de alto escalão.
Para o usuário comum, o risco prático imediato tende a ser menor, pois esses códigos custam milhões no mercado negro e são usados de forma ultra-direcionada. Ainda assim, especialistas em segurança recomendam a instalação imediata das atualizações, já que criminosos comuns costumam fazer engenharia reversa de um patch de segurança para tentar reconstruir a invasão original. Para manter a segurança da sua empresa protegida de acessos de dados indevidos por API, vale a pena ler também sobre como a OpenAI lançou o novo sistema de processamento de dados privados com retenção zero de dados.
Para as empresas, o caso reforça o valor de se adotar atualizações de sistema automáticas, já que a janela para a exploração de brechas por hackers diminui a cada dia. O uso de automação e de novos modelos computacionais para corrigir e achar falhas no silício é uma tendência que também analisamos no nosso artigo sobre o planejamento de modelos de IA de infraestrutura para encontrar falhas de códigos em 2026.
Limitações e o que ainda está em aberto
Até a publicação desta reportagem, a Apple não confirmou publicamente se a CVE-2026-65346 foi ativamente explorada em algum ataque real antes da aplicação do patch — e a política estrita da empresa é a de não comentar esses dados enquanto as varreduras internas não forem totalmente concluídas. A ausência de confirmação não deve ser interpretada como garantia de segurança completa, pois as confirmações históricas de infecções ativas por spywares costumam levar de 3 a 6 meses para serem reportadas por consultorias de cibersegurança independentes.
Também vale registrar que a autoridade de segurança cibernética da Índia, o órgão federal CERT-In, emitiu um alerta público imediato recomendando a instalação rápida das correções de software em todo o território nacional, dada a gravidade do potencial de vazamento de dados de hardware e sequestro de informações privadas dos celulares.
O que vem a seguir
A recomendação prática para qualquer proprietário de iPhone, iPad ou Mac é simples: instalar as novas versões do sistema operacional o mais rápido possível, sem adiar os patches.
Do lado da Apple, a expectativa é que a empresa continue suas varreduras e aperfeiçoe os classificadores de imagens do iOS 26 ao longo das próximas semanas para evitar novos escapes que comprometam a privacidade digital da marca.
Fontes:
• Apple Support — "About the security content of iOS 26.6.1 and iPadOS 26.6.1" — support.apple.com/en-us/148282
• Apple Support — "Apple security releases 2026" — support.apple.com/en-us/100100
• The Register — "Apple plugs image-processing hole ripe for spyware abuse" — theregister.com/apple-plugs-image-processing-hole
• Malwarebytes Labs — "Apple fixes another image-processing flaw that could allow code execution" — malwarebytes.com/apple-fixes-another-image-flaw
• Forbes — "iOS 26.6.1 And iOS 18.7.10—Update Now Warning For All iPhone Users" — forbes.com/ios-update-now-warning
• eSecurity Planet — "Apple Patches Critical iPhone Flaws: Attackers Could Run Malicious Code" — esecurityplanet.com/apple-patches-critical-iphone-flaws