Falha no CoreGraphics: veja quais dispositivos Apple precisam de atualização

A Apple corrigiu a vulnerabilidade CVE-2026-86950, uma falha de escrita fora dos limites no CoreGraphics, componente usado no processamento de gráficos. Em um dispositivo vulnerável, o processamento de um arquivo criado para explorar o problema poderia permitir a execução de código arbitrário. 1239

A Apple afirma estar ciente de um relato segundo o qual a falha pode ter sido usada em um ataque extremamente sofisticado contra pessoas específicas. Isso não significa que todos os aparelhos afetados tenham sido alvo de ataques. 1239

Quais versões e dispositivos são afetados?

As versões vulneráveis listadas são anteriores ao iOS e iPadOS 26.7.1, anteriores ao macOS Sequoia 15.8.1 e anteriores ao macOS Tahoe 26.7.1. A Apple publicou as atualizações de correção em 28 de setembro de 2026. 123

No caso de iPhone e iPad, a Apple lista os seguintes modelos para o aviso de segurança do iOS e iPadOS:

• iPhone 11 e posteriores;
• iPad Pro de 12,9 polegadas (3ª geração e posteriores);
• iPad Pro de 11 polegadas (1ª geração e posteriores);
• iPad Air (3ª geração e posteriores);
• iPad (8ª geração e posteriores);
• iPad mini (5ª geração e posteriores). 1

Os avisos do macOS identificam as versões Sequoia e Tahoe, mas não apresentam uma lista de modelos de Mac. Para conferir qual versão está instalada, consulte os ajustes do sistema e instale a atualização oferecida para o seu aparelho. 23

A observação da Apple sobre os ataques menciona versões do iOS anteriores ao iOS 27. Ela descreve as versões citadas no relato de exploração, mas não indica que todos os aparelhos com versões antigas tenham sido visados. 19

Como um arquivo malicioso poderia explorar a falha?

O gatilho descrito nos avisos é o processamento de um arquivo malicioso especialmente preparado. Isso pode levar à execução de código no dispositivo vulnerável. As informações disponíveis não especificam um formato de arquivo nem explicam como ele chegaria ao aparelho; por isso, não há base para afirmar que a falha esteja ligada a um tipo específico de imagem, documento ou método de envio. 1239

O que dizem as agências de cibersegurança?

O National Vulnerability Database (NVD), mantido pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST), registra o impacto descrito pela Apple, as versões afetadas e o relato de possível exploração em ataques sofisticados contra pessoas específicas. 9

Uma reportagem de segurança afirma que a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu a vulnerabilidade em seu catálogo de falhas exploradas. Como os resultados da CISA fornecidos para este texto não incluem uma entrada individual que confirme a inclusão, essa informação deve ser entendida como um relato, e não como uma confirmação independente aqui. 19

Veículos de comunicação indianos também relatam que a equipe de resposta a emergências cibernéticas da Índia, CERT-In, emitiu um alerta de alta gravidade e recomendou a instalação das atualizações. O aviso original da agência não está entre os materiais disponíveis, então não é possível conferir aqui os detalhes de sua redação ou recomendações. 1213

Como instalar a correção

Instale a atualização mais recente disponibilizada para cada aparelho:

• iPhone ou iPad: acesse Ajustes → Geral → Atualização de Software.
• Mac: acesse Ajustes do Sistema → Geral → Atualização de Software.

A Apple também mantém uma página com a lista de atualizações e avisos de segurança. 1234

Até atualizar, evite processar arquivos inesperados, especialmente os recebidos de remetentes desconhecidos. É uma precaução temporária, não substitui a instalação da correção e não significa que um formato específico de arquivo seja o responsável. 19

iOS 27.0.1 corrige outros problemas

As correções listadas para o iOS 27.0.1 são distintas da CVE-2026-86950. A Apple afirma que a atualização resolve reinicializações inesperadas no iPhone 18 Pro e iPhone 18 Pro Max quando o Face ID não consegue autenticar, um possível artefato de cor em algumas fotos com zoom de 2× feitas em um número limitado desses modelos e uma falha que pode deixar a tela sensível ao toque sem resposta quando a Central de Notificações e a Central de Controle são abertas ao mesmo tempo.