Falha no iMessage permite que hackers entrem em grupos e recebam mensagens privadas

A Apple lançou novas atualizações de segurança para corrigir vulnerabilidades no iMessage que poderiam permitir a invasores acessar conversas em grupo sem autorização e visualizar mensagens enviadas antes de sua entrada. As correções também abrangem falhas no Bluetooth, AirPlay e na biblioteca de compressão Brotli, utilizada por diferentes aplicações e sistemas.

As duas vulnerabilidades do iMessage afetam diretamente a privacidade das comunicações. A primeira permite que um invasor remoto entre em uma conversa em grupo e receba mensagens, enquanto a segunda possibilita que um participante recém-adicionado tenha acesso a conteúdos anteriores à sua entrada.

A Apple não informou se essas falhas foram exploradas em ataques reais, quais condições seriam necessárias para sua exploração ou se os demais participantes conseguiriam identificar a presença de um invasor na conversa.

Falhas no iMessage comprometem privacidade de conversas em grupo

A vulnerabilidade mais grave para a privacidade dos grupos, identificada como CVE-2026-113961, está relacionada a um problema de autorização no iMessage.

Segundo a Apple, a falha poderia permitir que um invasor remoto ingressasse indevidamente em uma conversa coletiva e passasse a receber as mensagens compartilhadas pelos participantes.

A empresa corrigiu o problema por meio de melhorias nos mecanismos de validação responsáveis por controlar o acesso às conversas.

A segunda vulnerabilidade, CVE-2026-113960, afeta o tratamento do histórico de mensagens em grupos.

Em determinadas circunstâncias, uma pessoa adicionada a uma conversa poderia visualizar mensagens enviadas antes de sua entrada, expondo informações que deveriam permanecer restritas aos participantes anteriores.

A documentação de segurança não esclarece se todos os integrantes precisam atualizar seus dispositivos para garantir a proteção completa do grupo.

Também não foram divulgadas soluções alternativas para usuários que não conseguem instalar imediatamente as versões corrigidas.

Correções não aparecem em todas as versões do iOS e watchOS

As atualizações foram distribuídas individualmente para diferentes sistemas operacionais da Apple.

O boletim de segurança do iOS e iPadOS 27.2.1 documenta as duas vulnerabilidades do iMessage e uma terceira falha relacionada à biblioteca Brotli.

Entretanto, as notas de segurança de outras atualizações disponibilizadas no mesmo período não incluem essas três correções.

Entre elas estão o iOS 18.7.12 e o watchOS 26.6.1, destinados a determinados dispositivos, incluindo iPhone XS, XS Max, XR, iPad de sétima geração e alguns modelos de Apple Watch.

A ausência das vulnerabilidades nesses boletins não significa necessariamente que os aparelhos estejam desprotegidos. A Apple não esclareceu se os dispositivos que executam essas versões são afetados pelas falhas.

Por isso, a verificação deve considerar o modelo do equipamento, a versão instalada e os boletins oficiais correspondentes.

Apple também corrige vulnerabilidade explorada na biblioteca Brotli

O pacote de atualizações inclui uma correção para a CVE-2026-111497, vulnerabilidade identificada no decodificador da biblioteca de compressão Brotli, desenvolvida pelo Google.

O problema envolve uma gravação fora dos limites da memória (out-of-bounds write), condição que pode permitir corrupção de memória durante o processamento de entradas maliciosas.

A vulnerabilidade ganhou relevância após a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicioná-la, em 27 de outubro, ao catálogo Known Exploited Vulnerabilities (KEV), que reúne falhas com evidências de exploração ativa.

A inclusão no catálogo indica que a vulnerabilidade já foi explorada, mas não significa que ataques tenham ocorrido especificamente contra dispositivos Apple.

A empresa não relatou exploração da falha em seus produtos.

Como a Brotli é uma biblioteca utilizada por diferentes softwares, a vulnerabilidade pode afetar outras aplicações que incorporem versões vulneráveis do componente.

Vulnerabilidades no Bluetooth permitem pareamento sem autorização

Além das correções relacionadas ao iMessage e à Brotli, todas as nove atualizações divulgadas pela Apple incluem ajustes de segurança para Bluetooth e AirPlay.

Duas das vulnerabilidades poderiam permitir que um dispositivo Bluetooth malicioso, ou um invasor dentro do alcance da conexão sem fio, realizasse o pareamento com um equipamento sem qualquer interação do usuário.

Normalmente, o processo de pareamento exige mecanismos de confirmação para impedir conexões não autorizadas.

A exploração dessas falhas poderia contornar essa etapa de autorização. Entretanto, a Apple não detalhou quais operações um dispositivo pareado indevidamente conseguiria executar.

Outras duas vulnerabilidades permitiriam contornar o limite de tentativas de códigos de pareamento.

Uma delas poderia ser explorada por um invasor dentro do alcance do Bluetooth, enquanto a outra exigiria acesso à mesma rede do dispositivo afetado.

O pacote também corrige uma falha que poderia permitir a corrupção da memória de um processo por um invasor localizado dentro do alcance da conexão Bluetooth.

A documentação apresentada não informa exploração ativa dessas vulnerabilidades.

Atualizações reforçam proteção de mensagens e conexões sem fio

As correções abrangem diferentes mecanismos de segurança dos dispositivos Apple, desde o controle de acesso às conversas do iMessage até a autenticação de conexões Bluetooth.

No caso das mensagens em grupo, as vulnerabilidades envolvem diretamente a confidencialidade das comunicações, pois poderiam permitir que pessoas não autorizadas recebessem conteúdos privados ou acessassem mensagens anteriores à sua participação.

Já as falhas de Bluetooth e AirPlay estão relacionadas à proteção dos processos de conexão e pareamento entre dispositivos.

A Apple recomenda que os usuários mantenham seus equipamentos atualizados com as versões de segurança disponibilizadas para cada modelo.

Embora não existam informações públicas sobre ataques envolvendo as falhas do iMessage, a vulnerabilidade na biblioteca Brotli já consta no catálogo de exploração conhecida da CISA, tornando sua correção especialmente relevante para produtos que utilizam o componente afetado.