A Apple liberou nesta segunda-feira (26) o iOS 27.2 e o iPadOS 27.2 com correções para mais de 160 vulnerabilidades de segurança, segundo a contagem da MacRumors. Entre elas está uma falha do Apple Intelligence que, nas palavras da própria Apple, permitia que "um atacante remoto acessasse dados sensíveis do usuário".
Adicione ao Google NotíciasNeste artigo
A atualização é gratuita e vale para qualquer iPhone 11 ou mais novo (até o iPhone 18 Pro e o iPhone Duo), o que cobre quase toda a base em uso no Brasil. A Siri AI em português chega na mesma versão, mas o motivo mais urgente para instalar é outro: os detalhes das falhas já estão publicados no boletim oficial da Apple, e parte delas foi usada num jailbreak demonstrado em público na semana passada.
As falhas mais graves corrigidas no iOS 27.2
A correção que mais chama atenção é a do Apple Intelligence. A Apple descreve o problema como uma falha de autorização, resolvida com "verificações de permissão aprimoradas". O registro é o CVE-2026-86987, e o crédito vai para o pesquisador Richard Hyunho Im, da Route Zero Security. Como o Apple Intelligence só roda no iPhone 15 Pro e nos modelos posteriores, essa brecha específica deve ficar restrita a esses aparelhos. As demais correções valem do iPhone 11 em diante.
A segunda falha de destaque está no Mail e mexe com um recurso que existe justamente para proteger a privacidade. Segundo o boletim, "o endereço de e-mail original do usuário pode vazar ao usar o recurso Ocultar Meu E-mail", que gera endereços descartáveis para cadastros. Foi um erro de lógica, corrigido com "restrições aprimoradas" (CVE-2026-112500). Nenhum pesquisador aparece creditado nesse caso.
No componente da App Store, a Apple fechou uma brecha que deixava um atacante remoto "escapar do sandbox do WebContent", o isolamento que impede uma página web de alcançar o resto do sistema (CVE-2026-112690). A descoberta é de Claudio Bozzato e Francesco Benvenuto, da Cisco Talos. O volume pesa mais no WebKit, o motor do Safari e de todo navegador no iPhone, com mais de 30 correções, e no kernel, o núcleo do sistema, com cerca de 15.
| Componente | O que a falha permitia | Registro |
|---|---|---|
| Apple Intelligence | Atacante remoto acessar dados sensíveis do usuário | CVE-2026-86987 |
| Mail (Ocultar Meu E-mail) | Vazamento do endereço de e-mail verdadeiro | CVE-2026-112500 |
| App Store | Atacante remoto escapar do sandbox do WebContent | CVE-2026-112690 |
| WebKit | Mais de 30 correções no motor dos navegadores | Vários |
| Kernel | Cerca de 15 correções no núcleo do sistema | Vários |
Imagens, fontes e apps maliciosos: as outras falhas corrigidas
Fora os casos de destaque, o boletim repete alguns padrões. O mais comum é o de um app conseguir ler dados sensíveis do usuário sem permissão: só no trecho da lista que vai de Accelerate a Model I/O, em ordem alfabética, há uma dúzia de entradas assim. Outro grupo, de oito entradas no mesmo trecho, trata de apps capazes de derrubar o sistema ou corromper a memória do kernel, defeito que costuma servir de degrau para ataques mais sérios.
Há ainda uma série de falhas disparadas por arquivo. Uma imagem, uma fonte ou um vídeo preparado de propósito podia vazar memória, corromper memória ou fechar o app que o abrisse. Os componentes afetados passam por ImageIO, CoreAudio, FontParser, CoreMedia e AppleAVD, o decodificador de vídeo. A lista toca também Mensagens, Mapas, Calendário, HomeKit e o Neural Engine.
A Apple não informou que alguma dessas falhas esteja sendo explorada ativamente. A MacRumors faz a ressalva de que, com os detalhes publicados, aparelhos sem a atualização "podem estar sujeitos a ataque". O iPhone não avisa o dono quando algo assim acontece, e a defesa que existe é instalar a correção.
iOS 27.2 fecha parte das brechas usadas no jailbreak do iPhone Duo
Seis dos registros corrigidos creditam a Calif, equipe de segurança que fez o jailbreak do iPhone Duo no dia do lançamento, 23 de outubro, e que dias antes demonstrou um jailbreak "untethered" do iOS 27.0.1, aquele que sobrevive à reinicialização do aparelho. Segundo o site alemão Heise, é o primeiro desse tipo desde o iOS 9. A técnica driblou a Memory Integrity Enforcement, proteção de memória da Apple baseada no EMTE da ARM, e funciona até no iPhone 18 Pro e no 18 Pro Max.
Nos vídeos da Calif, as portas de entrada foram um PDF manipulado enviado por iMessage ou Signal, que exigia um clique da vítima, e um app feito sob medida. "O jailbreak foi criado a partir de um conjunto de vulnerabilidades que a Calif já reportou à Apple nos últimos meses ou está prestes a reportar", disse o pesquisador Stefan Esser ao Heise em 19 de outubro. Esser afirmou depois que "a maioria" dessas falhas está corrigida no iOS 27.2. Ou seja, não todas.
A Calif diz que não vai lançar uma ferramenta para o usuário final, mas reconhece que a divulgação das falhas pode permitir que outras pessoas montem uma, e não descarta publicar uma prova de conceito. É aí que mora o risco: a receita fica mais acessível a cada semana, e muita gente demora semanas para atualizar o iPhone.
Anthropic e OpenAI nos créditos: IA acelera a caça a falhas no iPhone
O número de correções por versão vem subindo. O iOS 27 original, lançado em 14 de setembro, trouxe mais de 120, segundo o 9to5Mac, ou 122 correções cobrindo 126 CVEs, 20 delas no kernel, pela conta da eSecurityPlanet. Seis semanas depois, o 27.2 passa de 160. A MacRumors atribui a escalada a modelos de IA cada vez melhores em achar vulnerabilidades: a Anthropic Research aparece creditada em três correções, e a OpenAI em quatro. Num dos casos, o CVE-2026-112698, no kernel, a OpenAI divide o crédito com pesquisadores da STAR Labs SG.
Esser, da Calif, contou que a IA ajudou a montar o jailbreak, mas joga água no entusiasmo. "Apontar um modelo para um iPhone e mandá-lo hackear ainda é ficção científica", disse ao Heise, acrescentando que alvos difíceis como o iPhone "ainda exigem juntar a IA com humanos". Na prática, a IA acelera os dois lados, o de quem defende e o de quem ataca.
Quais iPhones e iPads recebem o iOS 27.2 e como atualizar
O iOS 27.2 e o iPadOS 27.2 estão disponíveis para iPhone 11 e posteriores; iPad Pro de 12,9 polegadas da 4ª geração em diante; iPad Pro de 11 polegadas da 2ª geração em diante; iPad Air da 4ª geração em diante; iPad da 9ª geração em diante; e iPad mini da 6ª geração em diante.
Quem preferiu não migrar para o iOS 27 não fica descoberto. A Apple lançou no mesmo dia o iOS 26.7.2 e o iPadOS 26.7.2, com muitas das mesmas correções e compatibilidade a partir do iPhone 11. Em ambos os casos, o caminho é Ajustes > Geral > Atualização de Software.
No pacote de recursos do 27.2, a Siri AI ganha memória de conversas anteriores e passa a falar português, francês, japonês, coreano e espanhol, mas só no iPhone 16 e posteriores ou no iPhone 15 Pro e 15 Pro Max. A próxima incógnita é a Calif: se a prova de conceito sair, quem não tiver instalado o 27.2 ou o 26.7.2 fica mais exposto. Mais detalhes no levantamento da MacRumors.
