O aviso chegou esta terça-feira, 10 de novembro, pela mão da Binance e dirige-se a quem guarda criptoativos num iPhone: basta uma aplicação maliciosa a correr numa versão vulnerável do iOS para que frases de recuperação e chaves privadas deixem de ser secretas. A técnica chama-se worse_query e o código é público. As duas versões do sistema saídas na véspera, 27.2.1 e 26.7.3, deixam a dúvida essencial por resolver, a de saber se o ataque fica travado.
Resposta rápida: A falha worse_query quebra o isolamento entre aplicações no iOS 26 e 27 e pode expor frases de recuperação, chaves privadas e credenciais guardadas sem cifra. A exploração exige que o utilizador instale uma aplicação maliciosa, tipicamente de fora da loja oficial. Atualize para o iOS 27.2.1 ou 26.7.3, apague aplicações de origem duvidosa e, se suspeitar de compromisso, mova os fundos para uma carteira criada num dispositivo limpo. A Apple não confirmou que as atualizações corrigem o problema.
O que é o worse_query e como funciona
No iOS, cada aplicação vive confinada ao seu próprio contentor de dados, a chamada sandbox, e em condições normais não consegue abrir ficheiros de outra. É essa barreira que a técnica contorna.
A origem do alerta é um projeto com dois dias de vida: o worse_query surgiu no GitHub a 8 de novembro, sob o pseudónimo forcequitOS e em colaboração com 0xjohnny. É a segunda técnica do género em poucos meses, depois do bad_query, que em agosto visava o iOS 26.0 a 26.6.1 e as primeiras betas do iOS 27.
Sozinho, o código publicado pouco faz: destina-se a programadores e pressupõe uma aplicação configurada com um contentor App Group. No iOS 27, o alcance estende-se a caminhos como /var/containers/Data/System e /var/containers/Shared/SystemGroup/*.
Nada disto equivale a um jailbreak, distinção em que insiste 23pds, que dirige a segurança da informação na SlowMist: o que cede é o isolamento de dados entre aplicações. Dois requisitos têm de coincidir para que haja roubo, de acordo com a mesma empresa: uma aplicação de origem não fidedigna instalada e executada no telefone, e uma carteira que guarde em texto simples a frase de recuperação, o keystore ou a cache do navegador embutido.
Carteiras de criptoativos são o alvo mais óbvio, mas não o único: a Binance situa a origem no próprio iOS, o que estende o risco a qualquer aplicação com dados sensíveis guardados no dispositivo.
Que versões estão afetadas? As fontes não coincidem
As listas de versões variam consoante quem as publica e devem ser lidas com cautela.
| Fonte | Versões do iOS indicadas |
|---|---|
| Binance | 26.7.1, 27.0.1 e 27.2, entre as afetadas |
| Repositório da técnica no GitHub | 26.0 a 26.7.2 e 27.2 |
| Erosion, ferramenta construída sobre a técnica | 26.0 a 26.7.2, 27.0 a 27.2.1 e 27.3 beta 1 |
A diferença mais sensível está na última linha, onde os autores de uma ferramenta de personalização assente no worse_query declaram compatibilidade com o iOS 27.2.1, precisamente a versão que acabou de ser distribuída.
A Apple corrigiu a falha? Há duas versões da história
O boletim de segurança do iOS 27.2.1 soma nove entradas, repartidas por iMessage, emparelhamento Bluetooth, AirPlay, App Intents e pela biblioteca de compressão brotli. A leitura do documento não esclarece a dúvida, porque lhe falta qualquer referência ao worse_query ou a quem o publicou.
A entrada mais próxima do tema é a do App Intents: CVE-2026-113963, creditada a László Várady e descrita como um problema de autorização que daria a uma aplicação acesso a dados sensíveis do utilizador. O registo público desse CVE indica uma pontuação CVSS 3.1 de 5,5, de gravidade média. Ligar essa correção à fuga à sandbox demonstrada seria, por agora, especulação, dado que nenhuma fonte pública o confirma. O worse_query propriamente dito continua sem identificador CVE.
Do lado da SlowMist, a leitura é otimista: na avaliação de 23pds, a fuga à sandbox deixa de funcionar na versão 27.2.1, razão pela qual aconselha a instalação. O silêncio da Apple, que se manteve mesmo perante perguntas da imprensa especializada, impede para já que essa avaliação passe de opinião a facto.
Quanto a vítimas, o balanço é por enquanto nulo: um porta-voz da Binance disse à Cointelegraph não ter casos confirmados de carteiras acedidas ou de fundos roubados por esta via.
| Data | Acontecimento |
|---|---|
| Agosto de 2026 | Publicação do bad_query, antecessor da técnica |
| 8 de novembro | Divulgação do worse_query por forcequitOS e 0xjohnny |
| 9 de novembro | Lançamento do iOS 27.2.1 e do iOS 26.7.3 |
| 10 de novembro | Aviso da SlowMist, seguido no mesmo dia pelo da Binance |
O que deve fazer agora
As fontes consultadas não divulgam indicadores de comprometimento (IOCs) associados a ataques reais. A resposta passa, por isso, por reduzir a exposição.
- Atualize o sistema: em Definições > Geral > Atualização de Software, instale o iOS 27.2.1 ou, no ramo anterior, o 26.7.3.
- Remova aplicações de origem duvidosa: aplicações instaladas por sideload ou a partir de ficheiros assinados manualmente são as primeiras a apagar, na recomendação da Binance.
- Atualize todas as aplicações, em particular carteiras e aplicações financeiras.
- Em caso de suspeita: uma suspeita de compromisso justifica medida mais drástica, com carteira nova criada num dispositivo limpo e transferência dos fundos para lá.
- Programadores: guardar segredos em texto simples é a prática a abandonar, lembra a SlowMist. O Keychain do sistema e a cifra dos dados em repouso são as alternativas habituais.
- Organizações: defina uma versão mínima do iOS na plataforma de gestão de dispositivos (MDM) e restrinja a instalação de aplicações fora dos canais aprovados.
Nenhuma destas medidas dispensa as outras: enquanto a Apple não se pronunciar, a atualização sozinha não vale como prova de que o risco desapareceu.
Porque é que isto importa em Portugal
Na União Europeia, o Regulamento dos Mercados Digitais levou a Apple a admitir a distribuição de aplicações fora da App Store. Isso alarga os canais por onde uma aplicação pode chegar a um iPhone e torna mais relevante o cuidado com a origem do que se instala.
O tema não se esgota nos criptoativos. Um iPhone de serviço guarda sessões de correio eletrónico, aplicações de autenticação e documentos de trabalho, e uma quebra do isolamento entre aplicações afeta tudo o que esteja armazenado sem proteção adicional. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), a gestão de vulnerabilidades e de atualizações faz parte das medidas de gestão de risco exigidas. Os incidentes com impacto significativo devem ser notificados ao CNCS, através do CERT.PT.
Se um dispositivo comprometido expuser dados pessoais de clientes ou trabalhadores, aplica-se também o RGPD, que prevê a notificação da violação à CNPD no prazo de 72 horas quando haja risco para os titulares.
Perguntas frequentes
O que é o worse_query?
É uma técnica de fuga à sandbox do iOS 26 e 27, com código público desde 8 de novembro de 2026. Permite a uma aplicação ler ficheiros que pertencem a outras aplicações. Não é um jailbreak e não tem identificador CVE atribuído.
Que versões do iOS estão afetadas?
As fontes divergem. A Binance aponta o iOS 26.7.1, 27.0.1 e 27.2, enquanto o repositório da técnica refere o iOS 26.0 a 26.7.2 e o 27.2. Uma ferramenta baseada na técnica declara ainda compatibilidade com o iOS 27.2.1.
A atualização para o iOS 27.2.1 resolve o problema?
Não está confirmado. A SlowMist considera que sim, mas o boletim de segurança da Apple não menciona a falha e a empresa não se pronunciou. Atualizar continua a ser recomendado, sem dispensar as restantes precauções.
Tenho uma carteira de criptomoedas no iPhone. O que devo fazer?
Atualize o iOS e todas as aplicações e apague as que tenham sido instaladas a partir de fontes não fidedignas. Se suspeitar de que o telefone foi comprometido, crie uma carteira nova num dispositivo limpo e transfira os fundos para lá.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple, por forcequitOS, pela Binance e pela SlowMist.