Uma fuga de sandbox do iOS publicada no GitHub permite que um aplicativo leia os arquivos de outros aplicativos em iPhones com iOS 26 e 27. Isso coloca em risco de exposição frases de recuperação, chaves privadas e credenciais de login diante de aplicativos maliciosos, alertou a Binance hoje. As atualizações da Apple para iOS 26 e 27, lançadas ontem, não listam uma correção.
Um pesquisador que usa o nome forcequit, em colaboração com 0xjohnny, divulgou a fuga, chamada worse_query, no domingo, um dia antes dessas atualizações. Nem a corretora nem o pesquisador relataram ataques ou furtos envolvendo a falha.
A corretora orientou os usuários a excluir aplicativos instalados de fontes não confiáveis, como apps carregados por sideloading ou assinados manualmente, e a atualizar o iOS e todos os seus aplicativos. Nenhuma correção para a falha foi confirmada.
Para quem suspeitar de invasão, o alerta de segurança da Binance recomenda transferir os fundos para uma nova carteira criada em um dispositivo limpo e redefinir todas as sessões de login ativas.
O código de prova de conceito do pesquisador pode acessar o contêiner de dados de todos os aplicativos em um iPhone e algumas pastas do sistema no iOS 27. Para usá-lo, um aplicativo precisa configurar um contêiner de App Group.
Ele afirma que o código é destinado a desenvolvedores e que “não é útil por si só”. Outros desenvolvedores criaram aplicativos com base nele, que podem ser instalados por qualquer pessoa.
Um deles é o WQ Files, um gerenciador de arquivos criado pelo desenvolvedor Christoph Kolbicz com base no worse_query. Ele acessa dados de outros aplicativos sem jailbreak ou exploração do kernel (núcleo do sistema), e pode editar, excluir e limpar esses dados.
O WQ Files é instalado por meio de ferramentas de sideloading, como AltStore e SideStore, que criam automaticamente o App Group necessário quando usadas com um ID Apple (identificador da conta Apple). Ninguém envolvido disse se um aplicativo da App Store poderia usar o worse_query.
As três versões citadas no alerta da corretora são as listadas como testadas nas notas de lançamento do WQ Files. O pesquisador indica um intervalo mais amplo.
Entre essas fontes, somente os desenvolvedores do Erosion listam o iOS 27.2.1, lançado ontem, e nenhuma lista o iOS 26.7.3. Eles acrescentaram a versão 27.2.1 nesta semana, em uma alteração no README, com a observação “pretty sure 27.2.1 is supported” (“quase certeza de que o 27.2.1 é compatível”).
As atualizações de ontem, iOS 27.2.1 e iOS 26.7.3, corrigiram duas falhas no iMessage e várias falhas de Bluetooth. As notas de segurança do iOS 27.2.1 não mencionam o worse_query nem problemas de sandbox, assim como as notas do iOS 26.7.3. Segundo as notas, a Apple não divulga, discute nem confirma problemas de segurança até investigá-los e até que uma correção ou versão esteja disponível.
Em uma resposta no X, o pesquisador escreveu que não planejava divulgar o worse_query antecipadamente. Ele acrescentou que “a Apple estava demorando para responder a mim e as pessoas começaram a fazer encenações com isso por aqui”.
A Binance não citou nenhum aplicativo de carteira como exposto, e tampouco o pesquisador ou os desenvolvedores dos aplicativos criados com o worse_query.
