Falhas críticas no AirPlay permitem ataques sem interação do usuário a dispositivos Apple via Wi-Fi público

Pesquisadores de segurança cibernética da empresa israelense Oligo revelaram uma série de vulnerabilidades graves no protocolo AirPlay, da Apple, que já foram corrigidas, mas que colocavam em risco milhões de dispositivos. As falhas, batizadas coletivamente de AirBorne, permitiam que um hacker explorasse os dispositivos sem qualquer interação do usuário, bastando que o aparelho estivesse conectado a uma rede Wi-Fi compartilhada.

De acordo com os especialistas, as brechas afetavam tanto dispositivos da Apple quanto de terceiros que utilizam o SDK do AirPlay. Ao combinar vulnerabilidades como CVE-2025-24252 e CVE-2025-24132, era possível realizar ataques do tipo zero-click RCE (execução remota de código sem clique) com capacidade de se espalhar automaticamente para outros dispositivos da rede, caracterizando um comportamento wormable — ou seja, semelhante a um verme digital. O risco era ainda maior em redes públicas, onde um único dispositivo comprometido poderia funcionar como porta de entrada para infecções em ambientes corporativos.

Entre as falhas destacadas, estão vulnerabilidades que permitem a execução remota de código, vazamento de informações sensíveis, leitura de arquivos locais, comandos não autorizados via AirPlay, negação de serviço e ataques do tipo adversary-in-the-middle. Em cenários hipotéticos, um invasor conectado à mesma rede Wi-Fi de uma vítima poderia controlar remotamente um Mac ou Apple TV sem precisar de autenticação, desde que as configurações do AirPlay estivessem abertas a "qualquer pessoa na mesma rede".

Felizmente, a Apple corrigiu as falhas nos sistemas mais recentes: iOS 18.4, macOS Sequoia 15.4, tvOS 18.4, entre outros. Além disso, os SDKs de áudio e vídeo do AirPlay e o plugin CarPlay também foram atualizados para corrigir parte dos problemas. A Oligo reforça que empresas devem atualizar imediatamente todos os dispositivos corporativos compatíveis com AirPlay, e alerta também para que usuários domésticos façam o mesmo em seus aparelhos pessoais.

Via - THN