A Apple publicou atualizações de segurança para corrigir a CVE-2026-86950 [1], uma vulnerabilidade no CoreGraphics que pode permitir a execução arbitrária de código durante o processamento de um arquivo especialmente criado. A empresa informa ter recebido um relato de que a falha pode ter sido explorada em um ataque “extremamente sofisticado” contra indivíduos especificamente selecionados, em versões do iOS anteriores ao iOS 27.

O que se sabe sobre a falha

A vulnerabilidade é uma escrita fora dos limites (out-of-bounds write) [2]: uma condição em que dados podem ser gravados além da região de memória prevista. Segundo a Apple, o possível impacto é a execução arbitrária de código quando um dispositivo processa um arquivo malicioso. A correção foi implementada por meio de verificações de limites aprimoradas, e o relato da falha foi atribuído à equipe Meta Product Security.

O boletim não identifica o formato do arquivo empregado nos ataques, o método de entrega, os responsáveis ou o número de vítimas. Tampouco afirma que o simples recebimento de um arquivo, sem que ele seja processado, cause comprometimento. Por isso, embora o risco justifique atualização prioritária, não há base pública para descrever uma cadeia de exploração específica.

Sistemas e correções

As atualizações iOS 26.7.1 e iPadOS 26.7.1, lançadas em 28 de setembro de 2026, incluem a correção. O boletim contempla iPhone 11 e posteriores, além de modelos compatíveis de iPad Pro, iPad Air, iPad e iPad mini. A Apple também publicou a correção para macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1.

É importante distinguir o alcance da correção do alcance da exploração relatada: os boletins incluem sistemas macOS, mas o relato de ataque citado pela Apple se refere especificamente a versões do iOS anteriores ao iOS 27. Isso não constitui, por si só, evidência pública de exploração da falha em Macs.

Orientações de mitigação

Usuários e administradores devem instalar as atualizações disponibilizadas para seus dispositivos sem demora, verificando a versão efetivamente instalada após a conclusão. Em ambientes corporativos, recomenda-se identificar iPhones, iPads e Macs ainda sem a correção e acompanhar a implantação pelos mecanismos de gerenciamento de dispositivos. Para equipamentos que já executam outra versão do sistema, consulte o boletim e a atualização oferecida pela Apple para o modelo específico, em vez de presumir que a numeração 26.7.1 se aplica a todos.

O caso merece atenção especial em organizações cujos profissionais possam ser alvo de operações direcionadas. Ao mesmo tempo, a comunicação deve preservar a precisão: a Apple relata possível exploração direcionada, não uma campanha indiscriminada comprovada contra todos os usuários.

Fontes oficiais

• Apple — Conteúdo de segurança do iOS 26.7.1 e iPadOS 26.7.1
• Apple — Conteúdo de segurança do macOS Tahoe 26.7.1
• Apple — Conteúdo de segurança do macOS Sequoia 15.8.1
• Apple — Atualizações de segurança

Referências

[1] CVE-2026-86950 – Out-of-Bounds Write Leading to Arbitrary Code Execution in Apple iOS, iPadOS, and macOS.

[2] CWE-787: Out-of-bounds Write – Common Weakness Enumeration