A Apple decidiu romper com um dos hábitos mais antigos da sua política de atualizações: separar as correções de segurança dos lançamentos de novas versões do sistema operativo. No dia 29 de junho, a empresa lançou o iOS 26.5.2, o iPadOS 26.5.2 e o macOS Tahoe 26.5.2 com quase três dezenas de correções que, em circunstâncias normais, só chegariam aos utilizadores com o iOS 26.6, ainda em fase beta. Segundo confirmou à Reuters, a decisão resulta de uma preocupação concreta: a inteligência artificial está a encurtar de forma significativa o tempo que os atacantes precisam para transformar uma vulnerabilidade conhecida num exploit funcional.
Uma mudança na forma como a Apple gere patches
Durante anos, a Apple concentrou a maioria das correções de segurança nos lançamentos “redondos” do sistema, ou seja, sempre que uma nova versão principal ficava disponível ao público. As excepções eram reservadas a vulnerabilidades de dia zero já exploradas em ataques reais. O iOS 26.5.2 rompe com essa lógica: trata-se de uma atualização dedicada exclusivamente a segurança, sem novidades de produto, que retira do ciclo beta do iOS 26.6 um conjunto de correções e as antecipa para todos os utilizadores elegíveis.
A empresa confirmou junto da Reuters que está a adaptar-se à realidade de que ferramentas de IA aceleram o desenvolvimento de código malicioso, obrigando a reduzir o intervalo entre a divulgação pública de uma correção e a sua chegada efetiva aos dispositivos. É uma admissão pouco habitual por parte de um fabricante do tamanho da Apple: o próprio ato de publicar as notas de uma atualização de segurança pode hoje, com o auxílio de IA, dar pistas suficientes para um atacante reconstruir a falha original em poucas horas, um processo que antes podia demorar semanas.
O que foi corrigido
De acordo com a documentação de segurança da própria Apple e com a cobertura da imprensa internacional especializada, a atualização resolve entre 25 e 29 vulnerabilidades, distribuídas essencialmente por duas áreas:
- WebKit — o motor de renderização que a Apple obriga todos os navegadores no iOS e iPadOS a utilizar, incluindo o Safari, mas também o Chrome, o Firefox ou o Edge quando instalados num iPhone. Cerca de metade das correções da atualização está concentrada aqui, cobrindo cenários que vão desde encerramentos inesperados de aplicações até corrupção de memória e exposição de dados da área de transferência através de conteúdo web malicioso.
- Kernel — o núcleo do sistema operativo, onde foram fechadas pelo menos três falhas que, em teoria, poderiam permitir a um atacante executar código com privilégios elevados.
A Apple sublinhou que não tem, até ao momento, qualquer evidência de que estas vulnerabilidades tenham sido exploradas ativamente antes da publicação das correções. Isso distingue este caso de outras atualizações de emergência anteriores, motivadas por ataques de dia zero já em curso: aqui, o objetivo é preventivo, fechar a porta antes que alguém a tente abrir.
A ligação à inteligência artificial
O contexto em que esta decisão surge não é isolado. Nas últimas semanas, agências de segurança de vários países, incluindo a aliança de partilha de informação conhecida como Five Eyes, têm alertado que os avanços dos modelos de IA estão a alterar de forma profunda tanto as capacidades ofensivas como defensivas em cibersegurança, com destaque para a redução do tempo entre a descoberta de uma falha e a sua utilização maliciosa.
É neste enquadramento que se inserem também referências, feitas por órgãos de imprensa internacionais, a agradecimentos da Apple a investigadores que recorreram a ferramentas de IA, incluindo o modelo Claude da Anthropic e o Codex da OpenAI, para identificar algumas das vulnerabilidades agora corrigidas. A mesma tecnologia que preocupa os fabricantes de software está também a ser usada, do lado defensivo, para encontrar falhas antes de estas chegarem a mãos erradas. Esta informação tem caráter meramente noticioso, com base no que foi reportado publicamente pela imprensa internacional.
O que isto significa para utilizadores em Portugal
Para quem usa iPhone, iPad ou Mac em Portugal, a recomendação prática é simples e não muda relativamente ao habitual: instalar a atualização o mais rapidamente possível. O iOS 26.5.2 está disponível para todos os modelos a partir do iPhone 11, bem como para um leque alargado de iPads Pro, Air e mini, e o processo faz-se em Definições, Geral, Atualização de Software, com um caminho equivalente no iPad e através das Definições do Sistema no Mac.
Vale a pena notar que, porque a Apple exige que todos os navegadores no iOS usem o motor WebKit, uma vulnerabilidade neste componente afeta por igual o Safari, o Chrome, o Firefox ou qualquer outro navegador instalado num iPhone, não sendo por isso um problema isolado de uma aplicação específica. Manter as atualizações automáticas ativas continua a ser, também por este motivo, a defesa mais eficaz para o utilizador comum, que não tem forma de saber, sozinho, quais das dezenas de falhas corrigidas seriam mais atrativas para um atacante.
Para pequenas e médias empresas que gerem parques de dispositivos móveis através de soluções de gestão de dispositivos, esta mudança de política da Apple é também um sinal a ter em conta: os ciclos de teste e distribuição de atualizações internas precisam de se tornar mais curtos, para não deixar equipamentos expostos durante semanas entre o lançamento público de um patch e a sua aplicação efetiva na frota da organização.
Porque é que isto importa
Este episódio ilustra, de forma muito concreta, uma tendência que tem vindo a ganhar espaço no debate europeu sobre segurança do software: a responsabilidade dos fabricantes em manter ciclos de correção rápidos e previsíveis. É precisamente esse o princípio central do Regulamento de Ciber-Resiliência, conhecido como Cyber Resilience Act ou CRA, da União Europeia, que passa a exigir aos fabricantes de produtos com componentes digitais a implementação de processos robustos de gestão de vulnerabilidades durante todo o ciclo de vida do produto, algo que a decisão da Apple, mesmo sendo tomada de forma unilateral e fora do quadro regulatório europeu, acaba por antecipar na prática.
Para o Centro Nacional de Cibersegurança e para as organizações abrangidas pelo Regime Jurídico da Cibersegurança, o Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, o caso reforça também uma recomendação recorrente: a gestão de vulnerabilidades e a aplicação de correções não podem continuar a ser tratadas como um processo lento e trimestral. Com ferramentas de IA a reduzir o tempo de exploração de falhas conhecidas para horas, em vez de semanas, a velocidade de resposta torna-se, ela própria, um controlo de segurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple e reportados pela Reuters, Forbes, Yahoo Tech e outros órgãos de imprensa internacional especializados em tecnologia e cibersegurança.