Uma falha no iMessage poderia permitir que um invasor remoto entrasse em uma conversa em grupo e recebesse as mensagens, informou a Apple ontem, que liberou atualizações para corrigi-la. As atualizações também corrigem outra falha no iMessage que poderia permitir que alguém adicionado a um grupo acessasse mensagens enviadas antes de sua entrada.
Até hoje, outras atualizações lançadas ontem para o iPhone XS, XS Max e XR, para o iPad (7ª geração) e para alguns modelos do Apple Watch não mencionam nenhuma das duas correções.
As notas da empresa também não informam se alguma das falhas foi explorada, o que um invasor precisaria para isso, se os integrantes do grupo veriam alguém que entrou dessa forma, ou se todos os membros precisam atualizar para ficar protegidos.
As atualizações que corrigem as falhas do iMessage também corrigem uma falha na biblioteca de compressão Brotli, do Google. As notas não mencionam nenhum ataque que use essa falha. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA, na sigla em inglês) incluiu a falha em seu catálogo de vulnerabilidades exploradas conhecidas em 27 de outubro.
A falha que poderia permitir que um invasor remoto entrasse em um grupo de conversa é identificada como CVE-2026-113961. A sigla significa Vulnerabilidades e Exposições Comuns (Common Vulnerabilities and Exposures), sistema usado para catalogar falhas de segurança. Trata-se de um problema de autorização que as atualizações corrigem com uma validação aprimorada. A falha relacionada às mensagens anteriores é a CVE-2026-113960.
Quais atualizações trazem as correções
Cada versão do sistema operacional recebeu sua própria atualização. O comunicado de segurança para o iOS e o iPadOS 27.2.1 descreve as três falhas. A lista de versões de segurança traz links para as notas de todas as atualizações.
As notas do iOS 18.7.12 e as notas do watchOS 26.6.1 listam outras correções de segurança, mas não as correções do iMessage nem a do Brotli.
A empresa não informa se dispositivos com essas versões são afetados pelas três falhas. Suas notas também não oferecem nenhuma solução alternativa para quem não puder atualizar imediatamente.
A falha no Brotli, CVE-2026-111497, é uma escrita fora dos limites no decodificador da biblioteca, que poderia permitir que uma entrada maliciosa corrompesse a memória. O registro no catálogo da CISA para a falha no decodificador do Brotli identifica o Brotli do Google como produto afetado e informa que outros produtos podem usar o componente.
Todas as nove atualizações corrigem falhas no Bluetooth e no AirPlay. Duas podem permitir que um dispositivo Bluetooth malicioso, ou um invasor dentro do alcance do Bluetooth, se pareie com um dispositivo sem interação do usuário. As notas não dizem o que um dispositivo pareado poderia fazer em seguida.
Outras duas podem permitir que um invasor contorne o limite de tentativas de código de pareamento, uma a partir do alcance do Bluetooth e outra a partir da mesma rede. Outra pode permitir que um invasor dentro do alcance do Bluetooth corrompa a memória de processos.
