Vol. 2 (abr. 2026) | Pp. 427–429 | ISSN 3086-6103
Apple corrige zero-day do CoreGraphics explorado em ataques direcionados contra iPhones antigos
A Apple disponibilizou correções para iPhones e iPads mais antigos afetados pela CVE-2026-86950, uma vulnerabilidade no CoreGraphics explorada em ataques altamente sofisticados contra indivíduos específicos. A falha permite a execução de código arbitrário durante o processamento de um arquivo especialmente preparado e já havia sido corrigida em versões mais recentes dos sistemas da empresa em setembro de 2026.
A ampliação das correções, divulgada em outubro, leva a proteção a dispositivos que ainda permaneciam expostos. Segundo a Apple, há relatos de exploração contra versões do iOS anteriores ao iOS 27. A vulnerabilidade foi descoberta pela equipe de segurança de produtos da Meta.
Apesar da confirmação de exploração, as informações públicas apresentadas não identificam uma família de malware, o grupo responsável ou o mecanismo de entrega dos arquivos maliciosos. Portanto, o caso deve ser tratado como exploração ativa de uma vulnerabilidade, sem atribuir aos ataques uma campanha de distribuição de malware específica.
Como funciona
O CoreGraphics é um framework utilizado nos sistemas da Apple para operações como desenho de gráficos vetoriais bidimensionais, renderização de texto e processamento de imagens. A vulnerabilidade está relacionada a uma escrita fora dos limites de memória, condição conhecida como out-of-bounds write.
Esse tipo de falha ocorre quando o programa grava dados além da região de memória reservada para determinada operação. Dependendo das condições de exploração, isso pode provocar encerramentos inesperados, corrupção de dados ou execução de código controlado pelo atacante. No caso da CVE-2026-86950, a Apple informa que o processamento de um arquivo especialmente preparado pode resultar em execução de código arbitrário.
A Apple corrigiu o problema com verificações adicionais dos limites de memória. A reportagem, entretanto, não detalha o formato do arquivo utilizado, o aplicativo envolvido ou a necessidade de interação da vítima. Também não permite concluir que o ataque seja zero-click, isto é, executado sem interação do usuário.
Dispositivos que ja possuem patch de correção
As primeiras correções foram disponibilizadas em setembro para iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1. A atualização posterior ampliou a cobertura para modelos mais antigos de iPhone e para outras linhas de iPad.
Entre os dispositivos, estão:
-
iPhone XS, iPhone XS Max e iPhone XR;
-
iPad de 7ª geração;
-
iPad Air de 4ª geração e posteriores;
-
iPad de 9ª geração e posteriores;
-
iPad mini de 6ª geração e posteriores.
A lista se refere aos aparelhos contemplados pelas correções adicionais descritas no post, e não a um inventário completo de todos os produtos que utilizam o CoreGraphics.
Conclusão
A CVE-2026-86950 demonstra como uma falha no processamento de arquivos pode se tornar um ponto de execução de código em dispositivos móveis. A disponibilização de correções para aparelhos mais antigos amplia a proteção contra uma vulnerabilidade que já vinha sendo utilizada em ataques direcionados.
O caso também exige precisão na comunicação, a exploração está confirmada, mas o malware, a infraestrutura e os mecanismos posteriores ao acesso inicial não foram identificados. Tratar essas lacunas como desconhecidas evita transformar uma vulnerabilidade explorada em uma cadeia de comprometimento que as evidências públicas ainda não sustentam.
Referências
