CISA adiciona falha da Apple ao catálogo de vulnerabilidades exploradas

A Apple lançou atualizações de segurança para iOS, iPadOS e macOS que corrigem uma vulnerabilidade de gravação fora dos limites no CoreGraphics, explorada em ataques direcionados.

É importante porque a falha foi usada em ataques reais contra usuários específicos, e a correção protege dispositivos vulneráveis.

A vulnerabilidade, registrada como CVE-2026-86950, é um problema de gravação fora dos limites no componente CoreGraphics que pode levar à execução arbitrária de código ao processar arquivos maliciosamente criados.

A identificação da CVE ajuda a rastrear a falha e aplicar as correções adequadas em sistemas afetados.

A Apple disse que a falha foi explorada em um ataque extremamente sofisticado contra indivíduos específicos que usavam versões do iOS anteriores ao iOS 27.

Isso indica que a falha era usada por atores avançados para atingir alvos determinados, elevando o risco para usuários desatualizados.

A correção foi aplicada por meio de um melhor controle de limites, e a Apple creditou a descoberta da falha à Meta Product Security.

Melhorias na validação de limites impedem que arquivos maliciosos explorem a vulnerabilidade; o crédito ao descobridor é prática comum no ecossistema de segurança.

A Apple lançou hoje o iOS 26.7.1, que contém correções de segurança para o iPhone, juntamente com o iPadOS 26.7.1, macOS Tahoe 26.7.1 e macOS Sequoia 15.8.1.

Mostra que a Apple está reparando falhas em versões antigas do sistema, que ainda não adotaram o OS 27.

A vulnerabilidade CVE-2026-86950 é destinada a versões do iOS anteriores ao iOS 27, e a Apple diz que foi explorada em um ataque extremamente sofisticado contra indivíduos específicos.

Destaca o impacto do ataque e quem foi atingido, sem detalhar o número de vítimas.

A Apple não informou quantas pessoas foram alvo, se os ataques foram bem-sucedidos ou quando a primeira exploração ocorreu.

Ressalta a falta de transparência da Apple sobre o alcance do incidente.

A CISA adicionou a vulnerabilidade CVE-2026-86950, que afeta múltiplos produtos da Apple, ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), exigindo que agências federais apliquem a correção até 2 de outubro.

A inclusão no catálogo KEV da CISA indica que a falha é considerada um risco real e ativo, forçando entidades governamentais dos EUA a priorizarem a atualização de sistemas Apple.

Pesquisadores de segurança publicaram o primeiro proof-of-concept (PoC) público para a CVE-2026-86950, que usa um PDF malicioso com uma fonte incorporada para causar uma falha em iPhones e Macs sem patch.

A publicação de um PoC público reduz a barreira para que outros atacantes desenvolvam exploits funcionais, aumentando a urgência da atualização.

O proof-of-concept foi publicado em 30 de setembro por Dion Blazakis, Josh Maine e Anna Groza, da empresa de segurança Calif, e causa uma queda no sistema, não provando uma execução de código.

A equipe da Calif, especializada em superfícies de ataque zero-click, demonstra a exploração da falha, embora o PoC atual resulte apenas em um crash, e não em execução de código arbitrário.

A análise dos pesquisadores partiu de uma comparação binária pública entre as versões iOS 26.7 e 26.7.1, e identificou o CoreGraphics como a única biblioteca alterada na atualização.

A metodologia usada pelos pesquisadores demonstra que a correção da Apple se concentrou exclusivamente no componente vulnerável, confirmando o alvo da atualização.