Atualize já: o seu iPhone e Mac têm dezenas de falhas por corrigir

A Apple lançou a 27 de julho de 2026 uma vaga de atualizações de segurança para praticamente todo o seu ecossistema — iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, watchOS 26.6, tvOS 26.6 e visionOS 26.6 —, corrigindo centenas de vulnerabilidades. Segundo a análise das notas de segurança oficiais, o boletim do iPhone e iPad reúne dezenas de correções, enquanto o macOS concentra o maior volume. Embora a Apple não indique exploração ativa de nenhuma destas falhas, a publicação dos detalhes torna a atualização imediata a medida mais sensata para utilizadores e organizações em Portugal.

Quantas falhas foram corrigidas afinal?

Os números variam consoante a forma de contagem, uma vez que a Apple não publica pontuações CVSS nem uma soma oficial. Nas notas do iPhone e iPad, a contagem detalhada aponta para 78 entradas de vulnerabilidade associadas a 87 identificadores CVE únicos, sendo o total de CVE superior porque algumas entradas cobrem mais do que um identificador. O boletim do iOS 26.6 e iPadOS 26.6 abrange perto de 90 problemas de segurança, afetando componentes que vão da App Store ao Neural Engine.

No Mac, o volume é substancialmente maior. O macOS Tahoe 26.6 traz mais de 130 correções, muitas das quais também disponíveis no macOS Sequoia 15.7.8 e no macOS Sonoma 14.8.8 para Macs que não podem instalar o Tahoe. Uma contagem por identificador único indica 155 CVE nas notas do macOS Tahoe 26.6, e, retirando a sobreposição entre plataformas, o conjunto de atualizações trata 194 CVE únicos. Também o watchOS 26.6, tvOS 26.6 e visionOS 26.6 receberam, cada um, mais de 80 correções de segurança.

As falhas que mais importam

No iPhone e iPad, foram corrigidas várias vulnerabilidades de kernel e do WebKit, além de problemas em Wi-Fi, Siri e no processamento de imagem. Entre as que se destacam, uma falha no MediaRemote poderia permitir a uma aplicação obter privilégios de root, uma vulnerabilidade no AVEVideoEncoder permitiria executar código arbitrário com privilégios de kernel, e problemas no Game Center e no libc poderiam deixar uma aplicação maliciosa escapar da sandbox.

No Mac, a superfície de ataque é ainda mais ampla. Além de muitas correções partilhadas com o iPhone e iPad, o macOS trata vulnerabilidades que poderiam permitir a aplicações obter acesso root, escapar às sandboxes, contornar as verificações do Gatekeeper ou as preferências de privacidade e aceder a dados protegidos. Especial atenção às falhas do WebKit — o motor que a Apple obriga a usar no Safari e em todos os navegadores das suas plataformas —, porque várias podem ser desencadeadas apenas ao carregar uma página web maliciosa, sem qualquer ação adicional do utilizador.

Há exploração ativa?

Neste ciclo, não. A Apple não afirma que qualquer das vulnerabilidades corrigidas no iOS 26.6 tenha sido explorada ativamente, e o mesmo se aplica ao Mac. Ainda assim, a partir do momento em que os problemas se tornam públicos, os dispositivos não atualizados ficam potencialmente vulneráveis. É precisamente esta a razão para não adiar a instalação: uma vez publicadas as notas, investigadores — e atacantes — podem estudar o que foi corrigido.

Vale a pena recordar o contexto de 2026. No início do ano, a Apple corrigiu o seu primeiro zero-day ativamente explorado do ano, o CVE-2026-20700 (CVSS 7,8), uma corrupção de memória no dyld, o Dynamic Link Editor da Apple, tendo o Threat Analysis Group (TAG) da Google sido creditado pela descoberta. Esse padrão — falhas de execução de código exploradas contra alvos específicos — reforça a importância de aplicar todas as atualizações rapidamente.

A novidade: a IA da Anthropic creditada nos boletins da Apple

Um detalhe deste ciclo merece nota factual e neutra. As notas de segurança oficiais do macOS Tahoe 26.6 incluem entradas em que o modelo Claude, da Anthropic, surge creditado como coautor da descoberta. Segundo o boletim da Apple, a entrada CVE-2026-64704 credita, entre outros, “Calif.io in collaboration with Claude and Anthropic Research”, e a CVE-2026-64703 é atribuída a Bruce Dang, da Calif.io, na mesma colaboração. Não é a primeira vez que tal acontece: já em maio, o boletim do macOS Tahoe 26.5 creditou o CVE-2026-28952, uma falha de kernel, à Calif.io em colaboração com o Claude e a Anthropic Research. A tendência sinaliza o papel crescente de ferramentas de IA na descoberta de vulnerabilidades, um tema que a comunidade de segurança acompanha de perto.

Cronologia e resumo técnico

Componentes afetados incluem, entre muitos outros, o kernel, o WebKit, Wi-Fi, Siri, o Neural Engine e frameworks de processamento de imagem. Como a Apple não fornece pontuações CVSS, a gravidade de cada CVE deve ser lida pela descrição de impacto (por exemplo, execução de código, elevação para root, fuga de sandbox ou bypass do Gatekeeper).

Como atualizar e mitigar

• No iPhone/iPad: Definições > Geral > Atualização de software e instalar a versão 26.6.
• No Mac: Definições do Sistema > Geral > Atualização de software (Tahoe 26.6, ou Sequoia 15.7.8 / Sonoma 14.8.8 em Macs mais antigos).
• Atualizar também Apple Watch, Apple TV e Vision Pro para 26.6.
• Atualizar sempre a partir das definições do dispositivo — nunca através de ligações, pop-ups ou mensagens.
• Em ambientes empresariais, distribuir as versões via MDM e verificar a conformidade da frota.

Porque é que isto importa em Portugal

Para cidadãos e PME, o iPhone e o Mac são hoje ferramentas de trabalho, banca e comunicação. Uma falha do WebKit explorável só por abrir uma página, ou uma elevação de privilégios que dê a uma aplicação acesso de root, pode significar a exposição de credenciais, sessões de banca ou dados pessoais. A gestão de atualizações é uma medida basilar de higiene digital que o CNCS e o CERT.PT reforçam de forma consistente.

Para organizações, a aplicação atempada de patches enquadra-se nas obrigações de gestão de risco e de segurança das redes e sistemas de informação previstas no Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). E, quando estão em causa dados pessoais, um dispositivo comprometido por falta de atualização pode desencadear obrigações ao abrigo do RGPD, incluindo a notificação de violações de dados. Manter a frota atualizada é, por isso, tanto uma questão técnica como de conformidade.

Perguntas frequentes

Alguma destas falhas está a ser explorada por atacantes?

Não, segundo a Apple. A empresa não indicou que qualquer das vulnerabilidades corrigidas neste ciclo tenha sido explorada ativamente. Ainda assim, uma vez publicados os detalhes, o risco para dispositivos não atualizados aumenta, pelo que se recomenda instalar já as versões 26.6.

Quantas vulnerabilidades foram realmente corrigidas?

Depende da contagem. No iPhone e iPad falam-se de perto de 90 problemas (78 entradas ligadas a 87 CVE). No Mac, o macOS Tahoe 26.6 traz mais de 130 correções, com 155 CVE únicos listados; somando todas as plataformas e removendo sobreposições, o total ronda os 194 CVE únicos.

O meu Mac antigo pode ser atualizado?

Sim. Se o seu Mac não suporta o macOS Tahoe, a Apple disponibilizou o macOS Sequoia 15.7.8 e o macOS Sonoma 14.8.8, que incluem muitas das mesmas correções de segurança para equipamentos mais antigos.

O que significa a IA Claude aparecer creditada?

Significa que, em algumas entradas dos boletins da Apple, o modelo Claude, da Anthropic, é reconhecido como coautor da descoberta, em colaboração com investigadores humanos. É um sinal do papel crescente de ferramentas de IA na deteção de vulnerabilidades, sem que isso altere as recomendações de atualização para o utilizador.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple (boletins de segurança oficiais) e em análises técnicas independentes.