Ing. Calogero Bono
A Apple lançou o iOS 27.2.1 e as atualizações gêmeas para iPadOS, macOS, watchOS e visionOS, sem novos recursos, mas com correções de segurança. As notas iniciais eram enxutas, depois a empresa publicou a documentação completa. Nela estão falhas no iMessage, no AirPlay e no Bluetooth, além do encerramento do caso dos certificados eMudhra no macOS. Agora que os detalhes são públicos, atualizar fica mais urgente.
Alguns termos, antes de entrarmos nos fatos. CVE é o código que identifica uma vulnerabilidade conhecida. Autoridade certificadora é a entidade que emite os certificados com os quais um site comprova que é o verdadeiro. Chave privada é o segredo que permite assinar esses certificados; se vazar, pode ser usado para falsificá-los. Linha de comando indica ferramentas como curl e git, usadas pelo terminal e que não passam pelos apps do sistema. Limite de tentativas é o teto de tentativas permitidas, por exemplo com um código de pareamento.
Quais versões a Apple lançou?
Segundo o HDblog, o iOS 27.2.1 chega duas semanas após o iOS 27.2 e corrige bugs e problemas de segurança. Saem juntos o iPadOS, o macOS Golden Gate, o watchOS e o visionOS 27.2.1.
As correções também chegam aos sistemas anteriores, com 26.7.3 e 18.7.12 para iOS e iPadOS. Para Mac, há o macOS Tahoe 26.7.3 e o macOS Sequoia 15.8.3, enquanto o watchOS 26 passa para a 26.6.1.
Já havíamos falado do pacote de atualizações de 9 de novembro. Enquanto isso, continua o beta do iOS 27.3, sobre o qual escrevemos por ocasião do primeiro beta.
O que era possível fazer com as falhas do iMessage?
Duas vulnerabilidades afetam o iMessage. Com a CVE-2026-113961, um atacante remoto poderia entrar em um grupo de chat sem convite e receber as mensagens. Com a CVE-2026-113960, quem fosse adicionado a um grupo poderia ler também as mensagens trocadas antes de sua entrada.
São cenários que afetam a confidencialidade das conversas, inclusive as de trabalho entre colegas e colaboradores.
Que problemas havia no AirPlay e no Bluetooth?
Segundo o MacRumors, a maior parte das falhas dizia respeito ao AirPlay e ao Bluetooth. Um dispositivo Bluetooth malicioso poderia se associar sem a interação do usuário. Outro defeito permitiria que um atacante nas proximidades corrompesse a memória de um processo.
Vários bugs possibilitavam contornar o limite de tentativas do código de pareamento do AirPlay. O HDblog também cita uma falha no App Intents, que poderia dar a um app acesso a dados sensíveis sem as permissões necessárias. A Apple se atribui quatro vulnerabilidades, ou seja, foram encontradas internamente.
O que o eMudhra tem a ver com o macOS?
Como reconstrói o 9to5Mac, a Mozilla havia relatado o comprometimento das chaves privadas de oito autoridades certificadoras intermediárias administradas pela eMudhra, empresa indiana. A Apple bloqueou os certificados a partir de 19 de outubro, com outras proteções em 23, por meio de atualizações automáticas.
Permaneciam expostas ferramentas como curl e git, que podiam aceitar esses certificados. O macOS 27.2.1, 26.7.3 e 15.8.3 fecham a brecha e removem cinco certificados raiz de /etc/ssl/cert.pem, entre eles três da eMudhra que não estavam incluídos na solução manual inicial.
Apps com uma lista própria de certificados não seguem o bloqueio da Apple, e isso deve ser perguntado aos desenvolvedores.
Limites a conhecer
A Apple não disse se as falhas foram exploradas em ataques reais, e todas as fontes notam isso. Não sabemos quantos dispositivos estavam realmente expostos nem se existem exploits públicos. As fontes também não explicam como cada defeito foi resolvido. Resta ver quais apps com certificados próprios serão corrigidos pelos desenvolvedores.
O que muda para quem trabalha com o digital
Para quem usa iPhone e Mac no trabalho, a atualização deve ser feita já. No iPhone e no iPad, vá em Ajustes, Geral, Atualização de Software. No Mac, em Ajustes do Sistema, Atualização de Software. Quem gerencia uma frota de dispositivos deve verificar as versões instaladas, inclusive as mais antigas, como o iOS 18.7.12.
Desenvolvedores que usam curl ou git no Mac, por exemplo em scripts de build, precisam atualizar o macOS ou aplicar o procedimento manual da Apple. Se um app traz seus próprios certificados raiz, vale verificar com quem o desenvolveu.
Nossa opinião
A correção é adequada, mas o método deixa dúvidas. Notas quase vazias no lançamento e detalhes só depois levam a instalar no escuro, enquanto quem ataca compara as correções em poucas horas. No caso eMudhra, a Apple agiu bem com os bloqueios automáticos, mas levaram semanas para cobrir as ferramentas de terminal, justamente as usadas pelos desenvolvedores. Uma lição útil para quem cuida de servidores e infraestrutura. Os certificados formam uma cadeia, e basta um elo descoberto.
Perguntas frequentes
O iOS 27.2.1 traz novos recursos?
Não. Segundo o HDblog, ele corrige bugs e problemas de segurança, sem novidades. Os recursos novos chegarão com o iOS 27.3, que está em beta.
As falhas foram exploradas em ataques?
Não se sabe. A Apple não disse que foram exploradas no mundo real. Com os detalhes já públicos, os dispositivos não atualizados ficam mais expostos.
Quais sistemas mais antigos recebem as correções?
As versões 26.7.3 e 18.7.12 para iOS e iPadOS. Para Mac, há o macOS Tahoe 26.7.3 e o Sequoia 15.8.3, e para o watchOS a 26.6.1.
O que é o problema dos certificados eMudhra?
É o comprometimento das chaves de oito autoridades certificadoras intermediárias. Com essas chaves era possível criar certificados falsos mas aparentemente válidos, para copiar sites e interceptar dados.
Como atualizo meu dispositivo?
No iPhone e no iPad, vá em Ajustes, Geral, Atualização de Software. No Mac, abra Ajustes do Sistema e escolha Atualização de Software.
O que acompanhar depois do iOS 27.2.1, entre o beta 27.3 e os apps com certificados próprios
As correções saíram, mas a história não acabou. Importam os próximos lançamentos e o comportamento dos apps que não seguem o bloqueio da Apple.
- Verifique se as ferramentas que você usa trazem uma lista própria de certificados raiz e pergunte aos desenvolvedores.
- Acompanhe os betas do iOS 27.3 para entender quais outras correções virão.
- Fique atento a eventuais relatos de exploits públicos para as CVE do iMessage, AirPlay e Bluetooth.
